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Glossaire 


Analyse du risque : Processus mis en oeuvre pour comprendre la nature d'un risque et pour 
determiner le niveau de risque 

Appreciation du risque : Ensemble du processus d'identification des risques, d'analyse du risque et 
devaluation du risque 

Attitude face au risque : Approche d'un organisme pour apprecier un risque avant, eventuellement, 
de saisir ou preserver une opportunity ou de prendre ou rejeter un risque 

Aversion pour le risque : Attitude de rejet du risque 

Cadre organisationnel de management du risque : Ensemble d'elements etablissant les 
fondements et dispositions organisationnelles presidant a la conception, la mise en oeuvre, la 
surveillance, la revue et I'amelioration continue du management du risque dans tout I'organisme 

Communication et concertation : Processus iteratifs et continus mis en oeuvre par un organisme 
afin de fournir, partager ou obtenir des informations et d'engager un dialogue avec les parties 
prenantes et autres parties, concernant le management du risque communication, de concertation, 
d'etablissement du contexte, ainsi qu'aux activites d'identification, d'analyse, devaluation, de 
traitement, de surveillance et de revue des risques 

Consequence : Effet d'un evenement affectant les objectifs 

Contexte externe : Environnement externe dans lequel I'organisme cherche a atteindre ses 
objectifs 

Contexte interne : Environnement interne dans lequel I'organisme cherche a atteindre ses objectifs 

Criteres de risque : Termes de reference vis-a-vis desquels I'importance d'un risque est evaluee 

Etablissement du contexte : Definition des parametres externes et internes a prendre en compte 
lors du management du risque et definition du domaine d'application ainsi que des criteres de 
risque pour la politique de management du risque 

Evaluation du risque : Processus de comparaison des resultats de I'analyse du risque avec les 
criteres de risque afin de determiner si le risque et/ou son importance sont acceptables ou 
tolerables 

Evenement : Occurrence ou changement d'un ensemble particulier de circonstances 

Gout du risque : Importance et type d'opportunite qu'un organisme est pret a saisir ou a preserver 
ou de risque qu'il est pret a prendre 

Identification des risques : processus de recherche, de reconnaissance et de description des risques 

Management du risque : Activites coordonnees dans le but de diriger et piloter un organisme vis-a- 
vis du risque 
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Moyen de mattrise : Mesure qui modifie un risque 


Niveau de risque : Importance d'un risque, exprimee en termes de combinaison des consequences 
et de leur vraisemblance 

Partie prenante : Personne ou organisme susceptible d'affecter, d'etre affecte ou de se sentir lui- 
meme affecte par une decision ou une activite 

Plan de management du risque : Programme inclus dans le cadre organisationnel de management 
du risque, specifiant I'approche, les composantes du management et les ressources auxquelles doit 
avoir recours le management du risque 

Politique de management du risque : Declaration des intentions et des orientations generates d'un 
organisme en relation avec le management du risque 

Processus de management du risque : Application systematique de politiques, procedures et 
pratiques de management aux activites 

Profil de risque : Description d'un ensemble quelconque de risques 

Proprietaire du risque : Personne ou entite ayant la responsabilite du risque et ayant autorite pour 
le gerer 

Revue : Activite entreprise afin de determiner I'adaptation, I'adequation et I'efficacite de I'objet 
etudie pour atteindre les objectifs etablis 

Risque : Effet de I'incertitude sur I'atteinte des objectifs 

Risque residuel : Risque subsistant apres le traitement du risque 

Source de risque : Tout element qui, seul ou combine a d'autres, presente un potentiel intrinseque 
d'engendrer un risque 

Surveillance : Verification, supervision, observation critique ou determination de I'etat afin 
d'identifier continument des changements par rapport au niveau de performance exige ou attendu 

Traitement du risque : Processus destine a modifier un risque 

Vraisemblance : Possibility que quelque chose se produise 
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Note de synthese 


Le management des risques est un processus transversale qui vise a identifier, 
evaluer et traiter les risques auxquels I'entreprise des confrontee. II permet aux dirigeants 
de deployer leur strategie de developpement tout en prenant compte des alias pouvant 
entraver leurtrajectoire. 

Le management des risques ne permet pas d'eradiquer les risques, mais il permet de 
les anticiper, les traiter et reduire ainsi le taux d'echec des projets. Ce taux d'echec est 
naturellement plus important, et les statistiques le confirment, dans les PME etant donne 
leur fragilite et leur faible taille. 

II est done evident que ces PME aient plus besoin d'un systeme de management des 
risques. Or les divers referentiels qui ont ete developpes pour aider les entreprises a mettre 
en place un systeme de management des risques, s'averent complexe et couteux a utiliser. 

D'autre part, les jeunes entrepreneurs souvent pris par leur enthousiasme, sont tres 
peu sensibilises au principe de la gestion des risques dans son acception structuree tel que 
prevu par les differents referentiels. 

Le modele simplifie (RmPME) presente dans le cadre de ce travail, ambitionne de 
repondre a cette problematique en mettant a la disposition de la PME des outils simples et 
efficace pour instaurer leur premier systeme de management des risques. 

Un effort de soutien et de sensibilisation devrait egalement etre menes par les 
autorites publiques et les associations professionnelles afin d'encourager les PME a epouser 
la philosophie du management des risques. 
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Introduction 


Le risque est aujourd'hui un phenomene social omnipresent qui interesse tout le 
monde et qui devient tres mediatise. Risque politique, technologique, ecologique, sanitaire 
ou de toute autre nature, autant de risques qui nous guettent chaque jours et animent nos 
debats et controverses. 

Dans la vie des entreprises, que ce soit pour assurer la survie, gerer la croissance ou 
developper les affaires, implique la prise de risques dans un environnement turbulent et 
imprevisible. La gestion des risques devient des lors une part importante dans le 
management de I'entreprise a tous les niveaux, aussi bien en termes de conformites a la 
reglementation et vis-a-vis des parties prenantes (actionnaires, employes, clients...) qu'en 
termes de processus d'amelioration de performance et de perennite de I'entreprise. 

Les PME (Petites et Moyennes Entreprises) semblent etre les plus fragiles face aux 
risques. Le taux de defaillance des PME ne cesse en effet d'augmenter. Depuis 2009, une 
tendance se degage avec un taux de croissance moyen de 15,4%, alors que le taux de 
devolution moyen des creations d'entreprises se situe autour de 2,8%. En 2015 le nombre 
de PME en defaut depasse les 5700 entreprises, un palier jamais atteint, selon les chiffres 
d'lnforisk. 

Or, les PME representent un element essentiel du tissu economique de la plupart des 
pays et leur poids ne cesse de croTtre. Au Maroc, elles representent plus de 98% du tissu 
entrepreneurial national et participent a hauteur de 27% du PIB 1 . 

Leur structure organisationnelle et managerial et leur taille leur permettent certes, 
d'etre plus agiles, flexibles et innovantes, mais en fait egalement des entreprises plus fragiles 
et vulnerables face aux risques. Au stade de creation comme au stade de croissance rapide, 
les PME sont exposees a plusieurs risques strategiques, financiers, operationnels... 

S'ajoute le risque lie aux jeunes entrepreneurs, qui par exces d'enthousiasme ou 
d'ambition, prennent des risques parfois demesures, mettant en peril la perennite de leurs 

1 Inforisk et OMPIC (Office Marocain de Protection Industrie lie et Commerciale) 
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entreprises. Le manque d'experience, le faible taux d'encadrement et I'absence de vision, 
sont d'autant de facteurs qui amplifient les risques auxquels les PME sont exposes. 

II en demeure pas moins que la prise de risques reste un element fondamental dans 
I'activite de I'entrepreneur. Ceci peut paraitre paradoxal, maistoute la question est de savoir 
comment concilier ces deux dimensions : valorisation du risque en tant que facteur de 
reussite et I'apprehension vis-vis de ses consequences. Ce qui est I'objet et I'essence meme 
du management des risques. 

Deux grands courants ont essaye de traiter ce probleme de la regulation des risques. 
Le premier fonde sur une approche de la technique et la science d'ingenieur, tend a 
modeliser le risque de I'entreprise, celle-ci etant consideree comme un systeme de 
production, et a examiner les possibility de le minimiser. Le deuxieme epouse une 
demarche basee sur les sciences economiques, politiques et sociologiques, considerant le 
risque comme faisant partie integrante de I'activite de I'entreprise et visant a trouver la 
demarche appropriee pour le maitriser. 

De cette approche socioeconomique du risque, d'ailleurs plus complete et de fait plus 
pertinente, ont decoule plusieurs methodologies et referentiels normatifs de management 
des risques s'appuyant sur les techniques de management d'une part et le corpus 
reglementaires d'autre part. 

Cependant, la pratique du management des risques par les entreprises en general et 
par les PME en particulier, reste tres limitee. Plusieurs enquetes visant a dresser un etat des 
lieux sur la gestion des risques dans les entreprises, ont montre qu'il existe un enorme 
decalage entre I'interet affiche par celles-ci a la gestion des risques et les moyens mis en 
oeuvre pour la pratiquer. 

En effet, une grande majorite des entreprises interrogees affirment que la gestion 
des risques a un apport positif sur la creation de la valeur a la fois sur le plan quantitatif 
(taux de rendement des actifs) que qualitatif (developpement durable, fidelisation des 
clients) et que la mise en place d'une methodologie de gestion des risques serait profitable a 
leurs entreprises. Pourtant, ces memes enquetes concluent que I'approche de gestion des 
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risques adoptee par ces entreprises demeure defensive, parcellaire, securitaire et souvent 
reactive plutot que proactive. Les principales raisons avancees par les acteurs pour expliquer 
cette realite sont le cout de mise en place d'un systeme de management des risques et le 
faible ancrage de la culture du risque chez les dirigeants. 

Ces deuxfacteurs explicatifs appellent a notre sens plusieurs questionnements : 

N'est-il pas un principe economique avere que d'evaluer le cout par rapport a 
I'avantage procure represente soit par un gain supplemental soit par 
I'evitement d'une perte ou d'un manque a gagner ? Comment done faire de la 
gestion des risques un investissement et non un facteur de cout ? 

Dans quelle mesure, les referentiels existants peuvent etre simplifies et adaptes 
aux besoins des PME ? 

Eu egard a I'importance des PME dans le tissu economique et vu le taux de 
defaillance qui ne cesse d'augmenter, quel role peuvent jouer les pouvoirs publics 
pour encourager ces entites a se doter d'un systeme de management des 
risques ? 

Partant de ces questions et conscient de I'importance que revet le sujet pour 
ameliorer la resilience et la perennite des PME marocaines, nous nous proposons dans le 
cadre de cette these de : 

Apporter un eclairage sur le management des risques, ses principes, sa 
philosophie et les methodologies et referentiels existants pour sa mise en oeuvre ; 
(l er chapitre de la l ere partie) 

Etudier I'etat actuel de la connaissance et la pratique du management des risques 
au Maroc ; (2 eme chapitre de la l ere partie) 

Presenter les caracteristiques des PME et leur profil de risque ; (3 eme chapitre de 
la l® re partie) 

Proposer un guide methodologique adaptee aux PME pour la mise en place et le 
pilotage d'un systeme de management des risques; (l er chapitre de la 2 eme 
partie) 

Presenter une application pratique du modele propose a une PME marocaine 
evoluant dans le secteur de la distribution. (2 eme chapitre de la 2 eme partie) 
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l 4re Partie 

Le Risque management dans les PME 
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Chapitre I 

Le Risk management 


1. La notion du risque 

A. Definitions et historique 

« Mot venitien d'origine espagnole, le mot risque (riesgo) decrit d'abord I'ecueil 
(resecum en latin), puis Le naufrage, puis le danger potentiel pour I'armateur et enfin 
enveloppe des notions de plus en plus abstraites sur le calcul de probabilites d'un 
evenement nefaste ». (Duclos, 1996) 2 

Le risque est un concept ambivalent diversement compris, represente et pergu. C'est 
une notion tres evolutive dans le temps. II fait partie du monde de I'entreprise du fait qu'il 
est inherent a toute decision : « Decider, c'est choisir en univers incertain notamment, c'est 
prendre un risque en esperant que le choix s'averera a posteriori judicieux » (Persais, 2003) 3 . 

Larousse definit le risque comme etant I'«eventuality d'un prejudice, d'un 
evenement malheureux», c'est en effet, la possibility de survenance d'un evenement 
negatif pouvant causer un dommage ou entraver la realisation d'un objectif. 

Le cabinet Ernst & Young definit le risque en entreprise comme etant « la menace 
qu'un evenement, une action, ou une inaction affecte la capacity de I'entreprise a atteindre 
ses objectifs strategiques et compromettre la creation de la valeur. » 

Dans cette definition, I'accent est mis sur la notion de la probability de survenance 
d'un evenement (menace) et I'impact negatif (gravite) que celui-ci peut avoir sur la creation 
de la valeur. Nous y retenons egalement que la realisation d'un evenement nefaste est 
souvent le resultat d'une action volontaire ou involontaire, mais aussi de I'inaction des 
acteurs face a une situation de risque mal prevenue. 

La norme ISO FDIS 31000 definit le risque comme etant I' « effet de I'incertitude sur 
I'atteinte des objectifs », I'effet designe I'ecart positif ou negatif par rapport a une attente. 

2 Risque et communication dans les organisations contemporaines, Communication et organisation, Par Arlette 
Bouzon, 19 decembre 2012. 

3 La gestion des risques dans les entreprises fran^aises : etat des lieux et emergence d'une approche cognitive 
et organisationnelle, Par Caroline Aubry, 30 mars 2011. 
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Selon la meme norme, un risque est souvent caracterise en reference a des evenements et 
des consequences potentiels ou a une combinaison des deux. 

Le cadre de reference de I'Autorite des marches financier (AMF) precise que le risque 
« represente la possibility qu'un evenement survienne et dont les consequences seraient 
susceptibles d'affecter les personnes, les actifs, I'environnement, les objectifs de la societe 
ou sa reputation. ». 

B. La presentation, la perception et la prise du risque 

L'incertitude et le manque d'information comme I'afflux massif et rapide 
d'information dont I'integrite, la fiabilite et la pertinence restent difficiles a assurer, 
favorisent la proliferation de representations. II s'agit en effet, de modelisations et de 
codages personnalises de I'information conduisant a une reconstruction du monde 
exterieur. 

Selon Sophie Gaultier-Gaillard et Jean-Paul Louisot, « la representation est le contenu 
cognitif sur lequel s'exerce le traitement de I'information. Ce contenu est constitue de faits, 
de detection de formes, d'identification, de connaissances activees, de significations 
elaborees, selectionnees, et d'interpretations construites. Cette definition met en evidence 
I'interaction entre I'acteur et le processus. » 4 

La perception du risque varie selon les valeurs et les preoccupations aux travers 
desquelles un individu, un groupe ou une organisation pergoit le risque. De ce point de vue, 
on distingue le risque statique et le risque dynamique. Appele egalement Risque pur. Le 
risque statique est le degre de vraisemblance que quelque chose de negatif se produise 
durant une periode donnee ou en consequence d'une situation particuliere. Le risque 
d'incendie, de seisme ou de tempete sont des exemples de risques statiques. 

Contrairement au risque statique, le risque dynamique, dit aussi speculate, resulte 
d'une decision consciente et deliberee pouvant engendrer aussi bien une opportunity de 
gain qu'un risque de perte. II se presente en effet, comme un coup de poker qui consiste a 
risquer quelque chose de certaine en esperant gagner quelque chose d'incertaine et d'une 

4 Sophie Gaultier-Gaillard et Jean-Paul Louisot, Diagnostic des risques, Afnor, l ere ed., 2014, 206p. 
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plus importante valeur. Les entreprises dynamiques osent ainsi plus de risques dynamiques 
en investissant dans I'innovation. 

En 1969, C. Starr a ete le premier a travailler sur le caractere volontaire ou non d'une 
prise de risques. II s'agit d'une approche qui permet d'expliquer I'attitude de I'individu face a 
un risque potentiel. Une autre etude basee sur I'approche des preferences exprimees, a ete 
realisee en 1978 par B. Fischhoff au sein d'un groupe de chercheurs americains dans 
I'objectif d'identifier des jugements quantitatifs a propos de la perception du risque, du 
niveau de risque acceptable et des benefices pergus pour chacune des activites presentees, 
en comparant le risque pergu au profit potentiel issu de ce risque. II en est ressorti que 
I'acceptabilite des risques par les individus differe en fonction de : 

La volonte de prendre ou pas le risque ; 

Les effets du risque (immediats ou non); 

Le degre de connaissance du risque ; 

L'equilibre risque / profit; 

Le degre de controle que I'individu peut avoir sur le risque ; 

Le niveau de familiarite du risque ; 

La criticite du risque (chronique ou catastrophique); 

L'attitude des individus face au risque (vivre avec ou le redouter); 
L'importance des consequences; 

A I'echelle d'une organisation, 5 profils se distinguent en termes d'arbitrage 
risques/opportunites, dont les caracteristiques se presentent comme suit: 

Le profil risquophile : La prise de risque est consideree comme etant une 
composante a part entiere de la strategie generale ; 

Le profil tolerant aux risques : II se caracterise par une strategie agressive 
en termes de prise de risque. La mise sous controle des risques consiste a 
les accepter ou les reduire ; 

Le profil neutre : Adopte une approche structuree en termes d'arbitrage 
risques/opportunites, basee sur I'analyse et devaluation des criteres de 
rentabilite et de prise de risque. 
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Le profil moyennement risquophobe : L'organisation prend enormement 
de precautions en termes en termes devaluation et de quantification des 
risques. Les objectifs associes au Risk management sont prioritaires sur les 
objectifs de rentabilite; 

Le profil risquophobe : Seul un niveau minimum de risque est accepte. Les 
risques non acceptes sont supprimes. Cela peut s'agir par exemple d'un 
disengagement de certaines activites. 

La prise de risque represente I'acceptation de la charge d'une perte en contrepartie 
du benefice eventuel d'un gain, d'un risque particulier. La prise de risque est essentielle voir 
indispensable pour la survie d'une entreprise face a la concurrence. II s'agit d'oser courir le 
hasard en s'engageant dans une action qui pourrait apporter un avantage, mais qui 
comporte I'eventualite d'un danger (Qui ne risque rien n'a rien I). 

La prise de risque ne devrait cependant pas se transformer en veritable jeu de poker 
irreflechi. II faudrait en effet, integrer les trois facteurs cles pour se situer avant toute prise 
de risque. II s'agit en effet de reduire la zone d'ignorance en utilisant notre retour 
d'experience, analyser et simuler les scenarii possibles et manager la zone d'ignorance 
residuelle en prenant le risque approprie. 

C. La classification du risque 

II existe plusieurs classifications possibles des risques. Celle par degre de gravite et 
niveau d'occurrence est la plus repondue. La matrice de gravite/occurrence (Figure n°l), 
proposee par la norme NF EN 50126, permet en effet, de croiser la criticite du risque et sa 
probability d'occurrence pour distinguer entre 4 categories de risque : 

o Risque negligeable dont la possibility de realisation n'affecte pas la vie 
courante 

o Risque acceptable, pergu comme insignifiant 

o Risque indesirable qui peut etre tolere moyennant des mesures appropries de 
controle et de suivi. 

o Risque inacceptable qui represente le risque residuel intolerable. 
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Invraisemblable 


Insignifiant 

Negligeable 


Marginal 

Negligeable 


Critique 

Negligeable 


Figure 1: Matrice de gravite/occurrence 


Catastrophique 

Negligeable 


Improbable 

Negligeable 

Negligeable 

Acceptable 

Acceptable 

Rare 

Negligeable 

Acceptable 

Indesirable 

Indesirable 

Occasionnel 

Acceptable 

Indesirable 

Indesirable 

Inacceptable 

Probable 

Acceptable 

Indesirable 

Inacceptable 

Inacceptable 

Frequent 

Indesirable 

Inacceptable ! 

Inacceptable 

Inacceptable 


Les risques peuvent egalement etre classes par: 

■ Nature de la source du risque : economique, politique, environnemental, 
humain (volontaire ou involontaire)... 

■ Nature de I'actif de I'entreprise en jeu : Financier, juridique, operationnel... 

■ Niveau champ managerial: Strategique, operationnel, financier, juridique... 

■ Par niveau d'environnement: Macro, meso, micro... 


Rene Demeestere et Philippe Lorino proposent une classification basee sur le niveau 
de maTtrise du processus qui genere le risque et le niveau d'innovation de I'activite 
concernee. Cette typologie debouche sur 6 categories de risques presentes dans le tableau 


suivant: 


Risque dans un cadre 
d'experience acquise (evolution 
graduelle) 

Risque dans un cadre d'innovation 
{Projet) 

Risque procedant de la 
maTtrise d'une activite 

1. Risque localise sur une activite 
precise qui se prete a 
^accumulation et la 
capitalisation d'experience. 

2. Risque localise sur une activite 
precise, de nature innovante et 
soumise aux incertitudes de 
I'experimentation, souvent dans le 
cadre d'un projet. 

Risque procedant de la 
maTtrise d'un processus 
ou d'un projet dans son 
ensemble 

3. Risque d'organisation et 
d'integration, portant sur la 
configuration globale d'un 
processus beneficiant d'un 
cumul et d'une capitalisation 
d'experience significatifs. 

4. Risque d'organisation et 
d'integration, portant sur la 
configuration globale d'un 
processus a fort contenu 
d'innovation (risque de projet 
cible) ou d'un projet. 

Risque procedant de la 
maTtrise de la structure 
globale de la chaTne de 
valeur et de la 
coordination entre 

processus 

5. Risque d'organisation et 
d'integration, portant sur les 
modes de coordination entre 
processus et sur la 
configuration globale de la 
chaTne de valeur, dans un 
contexte de cumul et de 
capitalisation d'experience. 

6. Risque d'organisation et 
d'integration, portant sur les 
modes de coordination entre 
processus et sur la configuration 
globale de la chaTne de valeur, 
dans un contexte d'innovation et 
d'incertitude ou d'un projet de 
changement strategique global. 


Source: Gestion des risques et processus strategiques, Rene Demeestere et Philippe Lorino, 20/04/2011 
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Une autre classification est proposee par Sophie Gaultier-Gaillard et Jean-Paul 
Louisot 5 . II s'agit d'une grille a trois dimensions : 
o Sept types de risques : 

■ Economique 

■ Naturel 

■ Operationnel 

■ Humain involontaire 

■ Humain volontaire (petit malin) 

■ Humain volontaire a but lucratif (malveillance) 

■ Humain volontaire a but non lucratif (terrorisme) 
o Six types de ressources : 

■ Ressources humaines 

■ Ressources techniques 

■ Ressources informationnelles 

■ Ressources partenaires 

■ Ressources financieres 

■ Ressources gratuites (physiques, sociales et culturelles) 
o L'impact ou les consequences (dommages) directes du risque. 

2. Le management des risques 

A. Definitions 

Le Risk management (management des risques) est un processus visant a identifier, 
evaluer, controler et couvrir tout type de risque, interne ou externe, ayant un impact direct 
ou indirect sur I'entreprise. 

Le referentiel COSO II adopte une definition plus large du management des risques. II 
le definit en effet comme etant « un processus mis en oeuvre par le conseil d'administration, 
la direction generate, le management et /'ensemble des collaborateurs de I'organisation. II 
est congu pour identifier les evenements potentiels susceptibles d'affecter I'organisation et 


5 Sophie Gaultier-Gaillard et Jean-Paul Louisot, Diagnostic des risques, Afnor, l ere ed., 2014, 206p. 
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pour gerer les risques dons les limites de son appetence pour le risque. II vise a fournir une 
assurance raisonnable quant a I'atteinte des objectifs de /' organisation. ». 

Cette definition met I'accent sur les principes fondamentaux du Risk management. 
Elle insiste en effet, a la fois sur le caractere strategique de ce processus qui emane du top 
management et sur sa portee operationnelle a travers I'implication de tous les 
collaborateurs de I'organisation dans sa mise en place. Le processus est oriente vers 
I'atteinte des objectifs et vise a identifier les evenements potentiels pouvant representer un 
risque pour I'organisation et les gerer dans le cadre de I'appetence aux risques. 

Nous retrouvons cette dimension strategique du management des risques dans la 
definition retenue par le Cabinet Ernst & Young qui assigne au Risk management le role 
d' «identifier et anticiper les evenements, actions ou inactions susceptibles d'impacter la 
mise en oeuvre de la strategic dans un horizon donne, definir les options de traitements et 
s'assurer qu'une option optimale est choisie, mettre en oeuvre cette option et controler 
I'efficacite de la solution retenue par rapport aux attentes ». 

George Dionne 6 definit le management des risques comme « un ensemble d'activites 
(financieres et operationnelles) qui permet de maximiser la valeur d'une entreprise ou d'un 
portefeuille en reduisant les couts associes a la volatility de ses flux d'entrees et de sorties de 
fonds (cash-flow) ». On retrouve la aussi la notion fondamentale de la valeur. Maximiser la 
valeur en identifiant et en maitrisant les risques dont la survenance peut entraver la creation 
de la valeur ou la destruction de la valeur existante. 

Le cadre de reference de management des risques de I'AMF stipule que la gestion 
des risques «comprend un ensemble de moyens, de comportements, de procedures et 
d'actions adaptes aux caracteristiques de chaque societe qui permet aux dirigeants de 
maintenir les risques a un niveau acceptable pour la societe... ». 

B. Risk management et concepts voisins 

Le management des risques est parfois confondu de par ses objectifs, ses outils et sa 
demarche, avec d'autres concepts de controle au sein de I'entreprise, notamment la 
gouvernance, le controle interne et I'audit interne. 

6 Gestion des risques : histoire, definition et critique, Par Georges Dionne, l er fevrier 2013 
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En effet, I'audit interne est definit pat le referentiel C0S02 comme etant « une 
activite independante et objective qui donne a une organisation une assurance sur le degre 
de maitrise de ses operations, lui apporte ses conseils pour les ameliorer contribue a la 
creation de la valeur ajoutee. II aide cette organisation a atteindre ses objectifs en evaluant, 
par une approche systematique et methodique, ses processus de management des risques, 
de controle, et de gouvernement d'entreprise, et en faisant des propositions pour renforcer 
leur efficacite. ». 

L'audit interne se positionne ainsi comme une activite qui a pour objectif d'evaluer le 
niveau de maitrise des operations et les moyens de controle mis en place au sein de 
I'organisation dont les processus de management des risques. C'est une structure 
independante qui vise a fournir aux actionnaires une assurance sur le degre de maitrise des 
activites et participer a I'amelioration de I'efficacite et a la creation de la valeur ajoutee. 

Le management des risques, si Ton reprend la definition du referentiel COSO 
presentee ci-dessus, est un processus de management mis en place par les organes de de 
controle d'une organisation (eg. Conseil d'administration) et qui se decline dans tous les 
niveaux de I'entreprise pour impliquer tous les collaborateurs. II vise egalement a fournir 
une assurance raisonnable sur I'atteinte des objectifs de I'organisation. La presence d'un 
processus de management des risques au sein d'une entreprise peut done etre consideree 
par I'audit interne, comme un signal positif quant au niveau de maitrise des operations par 
celle-ci. 


Dans son referentiel international de I'audit interne, I'lnstitut Frantpais de I'Audit et 
du Controle Internes (IFACI), annonce que I'audit interne doit evaluer I'efficacite des 
processus de gouvernement des risques et de controle, et contribuer a leur amelioration sur 
la base d'une approche systemique et methodique. II doit s'assurer notamment, de la 
coherence de sa mission avec les objectifs de I'organisation, de ^identification des risques 
significatifs, de leur traitement en adequation avec I'appetence pour le risque de 
I'organisation et de leur documentation et leur diffusion dans le reporting de celle-ci. 
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S'agissant du controle interne, le referentiel COSO controle interne le definit comme 
etant « Un processus mis en oeuvre par les dirigeants et le personnel d'une organisation, a 
quelque niveau que ce soit, destine a leur donner en permanence une assurance raisonnable 
quant a la realisation des objectifs de I'organisation ». Le processus du controle interne 
poursuit 3 objectifs : L'optimisation de I'utilisation des ressources (efficacite et efficience), la 
fiabilite de I'information financiere et le respect des lois et reglementations (conformite). 

On peut done dire que le controle interne est un des dispositifs mis en place par 
I'entreprise pour maitriser les risques. C'est un dispositif qui traite le risque en lien avec le 
fonctionnement de I'entreprise, tandis que le management des risques traite I'ensemble des 
risques de I'entreprise en lien avec I'atteinte des objectifs de celle-ci aussi bien ceux lies aux 
processus qu'a la strategie. 

Le cadre de reference de I'AMF (Autorite des marches financiers), definit lui, le 
controle interne comme etant « un dispositif de la societe, defini et mis en oeuvre sous sa 
responsabilite. II comprend I'ensemble de moyens, de comportements, de procedures et 
d'actions adaptes aux caracteristiques propres de chaque societe, qui contribue a la maTtrise 
de ses activites, a I'efficacite de ses operations et a I'utilisation efficiente de ses ressources, 
et doit lui permettre de prendre en compte de maniere appropriee les risques significatifs, 
qu'ils soient operationnels, financiers ou de conformite. ». 

Ce cadre de reference retient 5 composantes cles que doit comporter un dispositif de 
controle interne : 

■ Une organisation appropriee ; 

■ La diffusion en interne d'informations pertinentes ; 

■ Un systeme visant a recenser et analyser les principaux risques 
indentifiables et a s'assurer de I'existence de procedures de gestion de ces 
risques; 

■ Des activites de controle proportionnees aux enjeux; 

■ Une surveillance permanente du dispositif de controle interne ; 

En ce sens, le processus de management des risques constitue une composante 
essentielle du controle interne dont devaluation est la mission principale de I'activite de 


24 



I'audit interne. L'ensemble constitue les mecanismes necessaires a la bonne gouvernance et 
le pilotage de I'entreprise. 



C. Historique 

L'etude du Risk management moderne remonte a la periode 1955-1964 apres la 
guerre mondiale. Les deux premiers livres academiques traitant de la gestion des risques 
purs, excluant les risques financiers des d'entreprises, ont ete publies par Mehr et Hedges en 
1963 et Williams et Hems en 1964. Avec devolution industrielle, les ingenieurs ont 
developpe des modeles de gestion des risques technologiques, operationnels et de gestion 
de projet. 

Au depart focalisee sur les risques purs et pendant longtemps associee a I'assurance 
de marche destinee a proteger les individus et les entreprises contre les accidents, le 
management des risques a gagne le monde de I'entreprise avec le developpement des 
activites de planification contingente et de prevention des risques. Des modeles de 
protection et de couverture contre les maladies et les accidents du travail ont egalement ete 
developpes durant cette periode. 

On a vu egalement le developpement du concept de I'autoassurance contre les 
risques qui consiste a constituer une reserve de fonds suffisamment liquide pour couvrir 
I'impact financier d'un evenement defavorable. Les activites d'autoprotection se sont 
egalement developpees a grande echelle avec notamment la prevention des accidents 
soup?onnes mais non bien definis et dont on ignore la probability de survenance et les 
consequences financiers. 
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Les annees 1970 ont marque une phase importante dans le developpement du 
management des risques avec I'utilisation pour la premiere fois des produits derives comme 
instruments de gestion de risques assurables et non assurables. Ceci a permis le 
developpement, durant les annees 1980, de la gestion financiere des risques a travers la 
gestion de portefeuille des risques, la gestion des risques de marche et de credit. La gestion 
des risques operationnels et des risques de liquidite ont fait leur apparition durant les 
annees1990. 

Les produits derives ont ete utilises au debut comme des instruments d'assurance 
visant a proteger les entreprises contre les fluctuations des cours sur le marche, mais ils se 
sont rapidement transformes a des outils de speculation et ont entraine I'emergence 
d'autres risques plus difficile a mesurer et a controler. 

La reglementation internationale du management des risques, debute egalement 
durant les annees 1990, n'a pas ete suffisante pour eviter les scandales financiers et les 
faillites occasionnees par une mauvaise gestion des risques. C'est ainsi que la reglementation 
Sarbanes-Oxley a ete mis en place au Etat Unis, puis la loi LSF a ete promulguee en France 
afin de renforcer le management des risques et ameliorer les regies de gouvernance des 
entreprises. 
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1730 

Premiers contrats futures sur le prix du riz au Japon. 

1864 

Premiers contrats futures sur les produits agricoles au Chicago Board of Trade. 

1900 

These de Louis Bachelier "Theorie de la Speculation"; mouvement Brownian. 

1932 

Premier numero du Journal of Risk and Insurance. 

1946 

Premier numero du Journal of Finance. 

1952 

Parution de Particle "Portfolio Selection" de Markowitz. 

1961-1966 

Treynor, Sharpe, Lintner et Mossin developpent le modele CAPM. 

1972 

Contrats futures sur les devises par le Chicago Mercantile Exchange. 

1973 

Formules de valorisation d'une option de Black et Scholes et de Merton. 

1974 

Modele de risque de defaut de Merton. 

1977 

Modeles de taux de Vasicek et extension par Cox, Ingersoll et Ross (1985). 

1980-1990 

Options exotiques, swaptions et des derives sur les actions. 

1980-1982 

Premiers contrats OTC sous forme de swaps : swap de devises et swap de taux d'interet. 

1985 

Creation de la Swap Dealers Association, qui a etabli des normes d'echange OTC. 

1987 

Premier departement de gestion des risques dans une banque (Merrill Lynch). 

1988 

Bale 1. 

Fin annees 1980 

La valeur a risque (VaR) et le calcul du capital optimal. 

1992 

Article de Heath, Jarrow et Morton sur la structure a terme dans Econometrica. 

1992 

Gestion integree des risques (Integrated Risk Management). 

1992 

RiskMetrics (J.P. Morgan). 

1997 

CreditMetrics (J.P. Morgan). 

Premieres faillites associees au mauvais usage (ou speculation) des produits derives : 

1994-1995 

Procter and Gamble (manufacturer, derives de taux, 1994), Orange County (fonds de 
gestion, derives surtitres financiers, 1994) et Barings (contrats a terme, 1995). 

1997-1998 

Crises asiatique, russe et le defaut de LTCM. 

2001 

Faillite d'Enron. 

2002 

Nouvelles regies de gouvernance Sarbanes-Oxley et du NYSE. 

2004 

Bale II. 

2007 

Crise financiere. 

2009 

Solvency II. 

Norme ISO 31000 FDS 

2010 

Bale III. 


Table 1. Principales dates historiques du developpement de la gestion des risques (1> 
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3. Les principes et les acteurs 

A. Les principes du Risk management 

La norme ISO 31000 enumere 9 grands principes auxquels un systeme de Risk 
management doit adherer pour optimiser I'efficacite, et qui se presentent comme suit: 

■ Le Risk management cree de la valeur 

■ Le Risk management est integre aux processus organisationnels 

■ Le Risk management est integre aux processus de prise de decision 

■ Le Risk management traite explicitement de I'incertitude 

■ Le Risk management est systematique, structure et utilise en temps utile 

■ Le Risk management s'appuie sur la meilleure information disponible 

■ Le Risk management doit etre taille sur mesure 

■ Le Risk management integre les facteurs humains et culturels 

■ Le Risk management est transparent et participatif 

■ Le Risk management est dynamique, iteratif et reactif au changement 

■ Le Risk management facilite I'amelioration continue de I'organisme 

a. Le risk management cree de la valeur 

Reprenons la definition du risque retenue par le cabinet Ernst & Young : « la menace 
qu'un evenement, une action, ou une inaction affecte la capacite de I'entreprise a atteindre 
ses objectifs strategiques et compromettre la creation de la valeur ». Si le risque est pergu 
au sein de I'entreprise comme menace pouvant entraver la creation la creation de la valeur, 
le Risk management se doit par definition de permettre a I'entreprise de minimiser ces 
risques et done de creer plus de valeur. 

La prise de risque est inherente au developpement de I'entreprise car directement 
liee a la strategie. Le monde progresse grace a I'innovation dans un mouvement contenu de 
recherche de solutions optimales pour satisfaire les besoins. Les entreprises, loin de 
maitriser combien peut durer I'ordre etabli dans leurs marches, doivent etre en perpetuel 
changement pour adapter leurs offres en prenant des decisions dans I'incertitude, basees 
sur des hypotheses sur devolution des caracteristiques de leurs environnements. Ainsi, 
comme I'a bien demontrer Schumpeter dans sa theorie de la destruction creatrice, la prise 
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de risque est I'essence meme du role de I'entrepreneur dans la societe. Une meilleure 
connaissance et une meilleure maitrise des risques deviennent done une opportunity, un 
avantage competitif permettant a I'entreprise a prendre les bonnes decisions strategiques et 
creer plus de valeur. 

Cette relation entre le management des risques et la creation de la valeur on la 
retrouve egalement dans la definition adoptee par George Dionne qui definit le 
management des risques comme « un ensemble d'activites (financieres et operationnelles) 
qui permet de maximiser la valeur d'une entreprise ou d'un portefeuille en reduisant les 
couts associes a la volatility de sesflux d'entrees et de sorties defonds (cash-flow)». 

Plus qu'un role operationnel, le Risk management joue aussi un role strategique pour 
les entreprises cotees. II represente en effet, un signal positif qui, dans un marche efficient, 
augmente la confiance des investisseurs sur le systeme de gouvernance de I'entreprise et les 
rassure sur la qualite de I'execution strategique. 

Le cabinet McKinsey a demontre en effet, dans une etude realisee en 2002, que les 
investisseurs institutionnels sont prets a payer une prime de 12 a 14% pour les entreprises 
qui adoptent les meilleures pratiques de gouvernance. De meme, dans son systeme 
devaluation de la solvability des entreprises, Moody's classe dans la categorie B les 
entreprises ayant des deficiences touchant I'environnement de controle, le comite d'audit, 
I'audit interne et le Risk management et les processus de reporting financier. 

b. Le Risk management est integre aux processus organisationnels 

La mise en place d'une demarche de management des risques implique une 
adaptation de I'organisation de I'entreprise et des relations entre les differents acteurs. 
Cette adaptation doit se faire en harmonie avec la strategie de I'entreprise et sa culture 
interne. II ne suffit pas en effet, de rediger et diffuser un ensemble de procedures 
d'identification et de traitement des risques mais il faut instaurer un systeme coherent qui 
implique tous les acteurs et tire sa legitimate des instances les plus hautes de I'entreprise. 
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Le systeme de management des risques s'appuie, au-dela de ce principe de solidarity 
des acteurs face aux risques, sur une organisation efficace, pragmatique et transversale avec 
une designation precise d'un organe ou d'une fonction dediee. 

La transversalite de la demarche de management des risques exige de rattacher la 
fonction aux plus hauts niveaux de la hierarchie et non a une direction fonctionnelle ou un 
service operationnel. 

c. Le Risk management est integre aux processus de prise de decision 

L'entreprise est par nature une aventure, une prise de risque et une acceptation de 
risques. La reussite d'une entreprise est moins liee a I'elimination de tout risque qu'a la prise 
de risques mesuree et reussie. C'est en effet, la capacite a saisir les risques qui represented 
des opportunites. 

La capacite de prendre des decisions dans I'incertitude est fondamentale dans le 
pilotage d'une entreprise. Le management des risques joue le role d'un systeme d'aide a la 
decision en permettant aux decideurs de faire des choix argumentes, a prioriser leurs 
objectifs et choisir entre plusieurs plans d'action. 

d. Le Risk management traite explicitement de I'incertitude 

Nous I'avons deja indique, I'incertitude est une donnee inherente a I'activite de toute 
entreprise. Elle fait partie integrante de son environnement et constitue la source principale 
de ses menaces mais aussi de ses opportunites. Le Risk management a done pour but de 
permettre a la Direction d'identifier un degre d'incertitude acceptable et optimal pour la 
creation de la valeur pour les actionnaires. 

e. Le Risk management est svstematique. structure et utilise en temps utile 

Le Risk management est un processus qui s'insere dans I'organisation de l'entreprise 
d'une maniere transversale et qui opere en continu parallelement aux autres processus 
operationnels. II est structure en cohesion avec la strategie de l'entreprise, sa culture et son 
organisation et utilise a chaque fois qu'un risque atteignant un seuil prealablement defini, 
est identifie afin de le caracteriser, le comprendre et le maitriser. L'approche systematique 
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et structuree du management des risques contribue a I'efficacite de la demarche et a la 
coherence de resultats comparables et fiables. 

f. Le Risk management s’appuie sur la meilleure information disponible 

Le systeme de Risk management est un dispositif dynamique de collecte et de 
traitement d'informations liees a tout type d'evenement pouvant entraver la realisation des 
objectifs. La qualite et la pertinence d'information sont done primordiales dans la demarche 
d'identification des risques et leur evaluation. 

La disponibilite de I'information est egalement un enjeu important pour le bon 
fonctionnement d'un systeme de Risk management. L'entreprise doit ainsi integrer dans son 
processus organisationnel les outils de collecte d'informations pertinentes a destination des 
acteurs charges de la gestion des risques. 

g. Le Risk management doit etre taille sur mesure 

II n'y a pas de Systeme de Risk management standard a toutes les entreprises. La 
conception d'un systeme de management des risques est etroitement liee a la taille, au type 
d'organisation, aux specificites de I'activite et a la culture de l'entreprise. Le Risk 
management doit en effet, s'aligner sur le contexte interne et externe de I'organisation et de 
son profil de risque. 

h. Le Risk management integre les facteurs humains et culturels 

Les facteurs humain et culturel represented des sources de risques importantes, que 
le management des risques doit surveiller afin d'identifier les aptitudes, les perceptions et 
les intentions des personnes externes et internes susceptibles de facilite ou de gener 
I'atteinte des objectifs. 

i. Le Risk management est transparent et participatif 

Le Risk management est I'affaire de tous. L'implication de tous les acteurs et toutes 
les parties prenantes (dirigeants, collaborateurs, fournisseurs, sous-traitants, partenaires...), 
garantit la pertinence du systeme et assure I'engagement de tous les intervenants qui voient 
leurs opinions prises en compte dans la determination des criteres de risque. 
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j. Le Risk management est dvnamique. iteratif et reactif au changement 


Le Risk management est processus vivant qui interagie avec I'environnement et 
evolue avec les changements des contextes. C'est un processus en veille qui integre 
continuellement les risques emergents et desactive ceux depasses ou totalement maitrises. 
II profite de I'experience interne et externe pour ameliorer ses dispositifs et faire evoluer ses 
outils et s'adapte a devolution de la strategie et la culture de I'entreprise. 

k. Le Risk management facilite l'amelioration continu de l’organisme 

Le Risk management doit s'inserer dans un apprentissage continu visant a ameliorer 
la maturite de ^organisation dans le traitement et la maitrise des risques. 

B. Les acteurs du Risk management 

Le Risk management implique plusieurs acteurs au long de ses differentes etapes et a 
differents niveaux. Ces acteurs exercent des roles complementaires et entretiennent des 
relations directes et indirectes dans le processus organisationnel de I'entreprise. 

a. Le Conseil d'administration 

Le role du Conseil d'administration est de superviser le systeme de management des 
risques mis en oeuvre au sein de I'entreprise par la direction generale. II s'assure que le 
niveau d'exposition aux risques dans les differentes activites de I'entreprise est coherent 
avec son appetence pour le risque et que le management comprend et joue son role en 
matiere de suivi effectif et de maitrise des risques. 

b. La Direction generale 

L'implication de la Direction generale est primordiale dans la mise en place et le 
pilotage d'un systeme de management des risques. En effet, d'une part, en tant qu'un 
processus de controle, le Risk management a besoin d'une legitimate appuyee par le top 
management pour assurer son efficacite aux differents niveaux hierarchiques de 
I'organisation. D'autre part, etant donne sa portee strategique, le systeme de Risk 
management doit etre congu et instaure en coherence avec la strategie de I'entreprise afin 
d'optimiser les chances de la reussite de celle-ci. 
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La Direction generale est responsable du management des risques au sein de 
I'entreprise. II congoit la politique de risque sur la base d'appetence aux risque defini par le 
Conseil d'administration, met en place des outils de maitrise et de pilotage des risques et 
s'assure de leur bonne execution. 

C'est dans ce sens que le legislateur a fortement insiste sur la responsabilite des 
organes de gestion et de controle (Dirigeants, President du conseil d'administration et 
administrateurs) dans la mise en place et la surveillance des mecanismes de bonne 
gouvernance et de gestion des risques. Leur responsabilite civile et parfois meme penale est 
recherchee a chaque fois qu'une faute de gestion est invoquee par I'une des parties 
prenantes de I'entreprise. Abus de pouvoir, action en comblement de passif, fausses 
declarations, negligence, discrimination, licenciement abusif, infractions legales ou encore 
violation des statuts de la societe...Tant de risques dont la faute incombe au dirigeant. 

c. Le Risk manag er 

Peu de PME franchissent le pas d'integrer dans leurs equipes un Risk manager. En 
effet, au-dela du cout important que ce type de profil rare et pointu peut generer, les PME 
n'ont generalement pas atteint le niveau de maturite organisationnel requis. Le 
management des risques dans les PME reste souvent une casquette secondaire portee par 
les dirigeants ou deleguee aux fonctions supports telles que la Direction des ressources 
humaines, la Direction financiere, ou la Direction technique. 

Souvent rattache au sommet de I'organigramme, le Risk manager a pour principales 
missions de : 

o Organiser et structurer le dispositif de management des risques 
o Identifier, analyser et evaluer les risques 

o Mettre en oeuvre les moyens necessaires a la maitrise des risques a un niveau 
acceptable en fonction des criteres predefinis par les dirigeants 
o Diffuser la culture du risque 

o Mettre en place les mecanismes de financement des risques en accord avec la 
politique generale de management des risques 
o Gerer les evenements non assures / non assurables 
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o Gestion des sinistres 
o Gestion de crise 

o Pilotage du systeme de gestion des risques et reporting 

d. Les acteurs metiers 

o Les responsables d'activites : 

Experts dans leurs domaines, les responsables d'activites contribuent a la mise a jour 
de la cartographie des risques en apportant leur connaissance des activites pour 
I'identification et devaluation des risques. Ils ont egalement pour role d'assurer des 
controles de premier niveau (autocontrole) et de participer a I'amelioration des procedures 
et dispositifs de maTtrise des risques dans leur perimetre. 

o Les operationnels : 

Ce sont les acteurs les proches du terrain. Ils realisent des taches operationnelles 
conformement aux procedures de I'entreprises et aux usages professionnels en vigueur. Ils 
sont les plus a meme a realiser les controles de premiers niveaux (autocontroles) et 
participent ainsi a la demarche de collecte des incidents necessaire pour I'amelioration du 
systeme de gestion des risques. Ils doivent etre formes et sensibilises sur les risques lies a 
leurs activites. 

e. Les fonctions support 

o Le Directeur Administratif et Financier: 

Le Directeur Administratif et Financier est un acteur essentiel de la gestion des 
risques a plusieurs titres. II est responsable de la production et I'analyse de I'information 
economique et financiere et I'interlocuteur principal des auditeurs internes et externes. 

En outre, il joue un role important dans le systeme de bonne gouvernance a travers la 
fiabilite de I'information financiere et des dispositifs de controle interne. D'un autre cote, la 
Direction Administrative et Financiere est impliquee dans le processus devaluation de 
I'impact des risques, de son financement et de sa couverture... 
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o La Direction des Systemes d'lnformation : 

Le role de la Direction des Systemes d'lnformation en matiere de gestion des risques 
est double. D'abord, elle doit maitriser les risques liee a son activite a savoir les risques 
informatiques. Ces risques dont notamment, la securite des donnees, I'integrite des 
systemes, la continuity d'activite, la maintenance operationnelle, et la protection des 
competences techniques cles, sont tres critiques pour I'activite de I'entreprise et pour sa 
survie. 


Ensuite de par le role qu'elle peut jouer pour automatiser certaines taches de 
controle et ameliorer I'efficacite du systeme de gestion des risques. En liberant ainsi les 
ressources productives pour qu'elles puissent se concentrer des activites d'analyse au lieu 
des activites de controle recurrentes a faible valeur ajoutee, la Direction des Systemes 
d'lnformation permet aux acteurs d'innover dans la gestion des risques et de creer plus de 
valeur. 

o La Direction des Ressources Humaines : 

Acteur important dans la gestion des risques, la Direction des Ressources 
Humaines doit collaborer activement avec les organes de controle pour favoriser la diffusion 
et ('appropriation des pratiques de management des risques. Le role de chaque 
collaborates dans le processus de maitrise des risques doit etre clairement mentionne sur 
sa fiche de poste et le Directeur des Ressources Humaines doit s'assurer de la formation des 
collaborateurs et de leur evaluation pour les sensibiliser sur leur role. 

D'un autre cote, la Direction des Ressources Humaines doit oeuvrer au renforcement 
du systeme de Risk management a travers le recrutement de profils motives, integres et 
repondant aux besoins metiers de I'entreprise. 

f. Les auditeurs internes et externes 

De par leur demarche professionnelle, basee sur une approche par les risques, ils 
permettent de : 

o Orienter les controles sur les risques significatifs et aident a renforcer la 
cartographie des risques. 

o Fournir une assurance sur la maitrise des risques 
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o 


Soutenir les acteurs et prendre une part active dans le processus de gestion 
des risques 

o Rendre compte du systeme de gestion des risques et de la coherence des 
moyens mis en place pour leur maTtrise, a I'instance dirigeante 


Conseii d’Administration 

Supervise la maftrise des risques 


it 



Figure 3 : Les acteurs du Risk Management 


4. Le cadre legal et les referentiels 

A I'echelle Internationale, depuis I'affaire Enron et d'autres affaires similaires ayant 
revele I'insuffisance des dispositifs de controle et de gouvernance, les regimentations se 
sont multiplies dans I'objectif de contribuer a renforcer la gestion des risques au sein des 
entreprises. 

En effet, la loi Sarbanes-Oxley en vigueur aux Etats Unis depuis 2002 a permis de 
reglementer la gouvernance d'entreprise en creant un cadre legal permettant de 
sanctionner lourdement les dirigeants pour presentation de comptes ne donnant pas une 
image fidele du patrimoine et des resultats de I'entreprise et en obligeant les societes cotees 
a documenter de nombreux controles relatifs a I'information comptable et financiere. 
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Mondialisation exige, cette loi a ete suivie par d'autres pays notamment en Europe, 
en integrant de nouvelles dispositions reglementaires visant a ameliorer les dispositifs de 
gouvernance et de gestion des risques. Nous citons a titre d'exemple : 

La 8 eme Directive europeenne sur I'audit legal (2006): Transposee en droit interne 
frangais en decembre 2008, elle rend obligatoire la mise en place d'un comite d'audit 
pour les entites d'interet public en charge du suivi de I'efficacite des systemes de 
controle interne, d'audit interne et de gestion des risques de la societe. 

La loi sur la Securite Financiere (LSF 2003): Appelee aussi loi Mer, la LSF a ete 
adoptee par le Parlement frangais le 17 juillet 2003 dans le but de renforcer les 
dispositions legales en termes de gouvernance d'entreprise. La loi s'applique a toutes 
les societes anonymes ainsi qu'aux societes faisant appel a I'epargne publique et vise 
principalement une responsabilite accrue des dirigeants, un renforcement du 
controle interne et la reduction des sources de conflits d'interet. 

La loi sur les nouvelles regulations economiques, (NRE 2001): Dans le but de reduire 
les effets nefastes des dysfonctionnements internes et de la mondialisation, elle 
instaure que les societes frangaises cotees devront presenter, dans le rapport de 
gestion annuel, en plus de de leurs informations comptables et financiers, des 
donnees sur les consequences environnementales et sociales de leurs activites. 

La loi du 3 juillet 2008 (France): Cette loi renforce les exigences des groupes cotes 
frangais en termes de description de dispositifs de Risk management. Dans son article 
26 correspondant a I'article L225-37 du code de commerce, elle stipule que «Dans les 
societes faisant appel a I'epargne, le President du conseil d'administration rend 
compte dans un rapport joint de la composition, des conditions de preparation et 
d'organisation des travaux du conseil, ainsi que des procedures de controle interne et 
de gestion des risques mises en oeuvre par la societe... ». En outre elle a rendu la 
publication d'une cartographie de risques obligatoire, pour ces societes. 

Ordonnance du 8 decembre 2008 (France) : Integree dans I'article L823-19 du code 
de commerce, elle insiste sur le suivi de I'efficacite des systemes de controle interne 
et de gestion des risques par le comite d'audit du conseil d'administration 
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La directive Seveso II: Elle vise les risques hautement proteges chez les 
etablissements potentiellement dangereux operant dans les secteurs (chimie, 
petrole, siderurgie, etc...). 

D'autres lois similaires peuvent etre citees telles que la loi allemande sur le controle 
et la transparence dans I'entreprise (KonTraG). En suisse des complements ont ete rajoutes 
au Code des Obligations obligeant ainsi les entreprises a etablir une evaluation annuelle des 
risques, independamment du fait qu'elles soient soumises a un controle de revision 
ordinaire ou restreint. En outre, de nombreux pays dans le monde ont emis des codes de 
bonnes pratiques pour susciter la mise en place d'une gouvernance efficace. 


Ces lois se sont malheureusement limitees, dans la plupart des cas aux entreprises 
cotees sur les marches financiers ou les enjeux lies a la maitrise des risques sont juges plus 
importants. Le tableau suivant presente les points communs et les specificites des 
reglementations les plus connues du management des risques d'entreprises : 


Sarbanes-Oxley 

8 eme directive europeenne 

LSF 

Objectifs 

Securiser I'actionnaire et 
I'investisseur; 

Sincerite des etats 
financiers; 

Proteger les cash-flows et 
la remuneration des 
actionnaires; 

Prevenir la reproduction 
d'un scandale financier 
type Enron. 

Securiser I'actionnaire et 
I'investisseur; 

Garantir la sincerite des 
etats financiers; 

Proteger les cash-flows et 
la remuneration des 
actionnaires; 

Prevenir la reproduction 
d'un scandale financier 
type Parmalat. 

Securiser I'actionnaire et 
I'investisseur; 

Garantir la sincerite des 
etats financiers; 

Proteger les cash-flows et 
la remuneration des 

actionnaires. 

Definition du 
controle interne 
et des risques 

Orientation revision 
comptable et prevention 
de la criminalite interne 

Concept de risque 
management 

Absence de definition 
specifique 

Champ ou types 
de risque pris 
en compte 

Sincerite des comptes 
Risques lies aux processus 
generant I'ecriture 
comptable 

Pas de definition specifique 
Directive tournee vers la 
revision comptable 

Pas de definition 
specifique des risques 

Methodologie 
de reference 

Mise en exergue du 
controle interne et du 
comportement risk 
assessment. 

Pas de methodologie 

commune 

AMF preconisant la 
methodologie de I'lFACI 7 , 
de I'll A 8 , du Medef 9 , de 
I'Afep 10 


Source : Sarbanes Oxley Act, LSF, 8 eme directive europeenne sur I'audit legal 


7 Institut Frangais de I'Audit et du Controle Internes 

8 The Institute of Internal Auditors 

9 Mouvement des Entreprises de France 

10 Association Frangaise des Entreprises Privees 
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Au Maroc, hormis les directives de Bank Al Maghrib inspirees du cadre normatif 
balois, les lois regissant les societes, qui definissent les regies de base de gouvernance et les 
responsabilites mises a la charge des dirigeants et mandataires sociaux, il n'existe aucune 
reglementation specifique pour le management des risques. Seuls le code marocain de 
bonnes pratiques de gouvernance d'entreprises publie par la commission nationale de 
gouvernance d'entreprise, sous I'egide du ministere des affaires economiques et generates 
et la Confederation Generate des Entreprises Marocaine (CGEM) et le Guide de celle-ci sur la 
sensibilisation aux risques represented aujourd'hui des referentiels marocains diffuses dans 
le but d'ameliorer les pratiques de management des risques dans les PME marocaines. 

Nous presentons dans ce chapitre I'historique, devolution et la demarche des 
principaux referentiels de conception et de mise en place de systemes de management des 
risques. 

A. Historique et evolution des referentiels de management des risques 

Si les premiers contrats de couverture de risques ont apparu en 1973, la naissance 
des premiers referentiels de gestion de risques en entreprises datent des annees quatre- 
vingt avec la methode MARION developpee par Clusif (Club de la securite de I'information 
frangais), suivie de la methode MELISA developpee en 1985 puis la methode CRAMM en 
1987 en Angleterre. 

Les annees quatre-vingt-dix ont connu I'apparition de 4 nouvelles methodes dont 
notamment EBIOS developpee par SCSSI en France en 1995, MEHARI developpee par Clusif 
en 1996 et IS021827 congue par NSA au Etats Unis d'Amerique. 

D'autres methodes et guides se sont developpes ensuite dont notamment, le 
referentiel FERMA (2002), COSO (2004), IS027005 (2008), ISO Guide 73 et IS031000... 
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Figure 4 : Historique du developpement des referentiels de management des risques 


L'evolution des methodes et referentiels de management des risques temoigne de la 
complexity et la multiplication des facteurs des risques d'une part et de I'interet croissant 
des acteurs a la maitrise des risques comme moyen d'amelioration de performance et de 
creation de valeur. 


B. Presentation des principaux referentiels de Risk management 

Le management des risques est une discipline en developpement rapide et continu. 
De nombreuses definitions et differentes methodes cohabitent aujourd'hui et contribuent a 
la structuration de la demarche de sa mise en oeuvre. L'ensemble de ces referentiels et 
methodes proposent un processus generique de management des risques et un guide 
d'application, destines a des organisations d'activites tres diverses, tout en preconisant la 
flexibility dans leur deployment. 

Nous presentons dans ce qui suit les x referentiels les plus repondus de management 
des risques. Le referentiel COSO, le cadre de reference FERMA, la norme internationale 
IS031000, le cadre de surveillance des risques du CPA de Canada et le guide PME de la 
CGEM. Nous donnerons egalement un apergu des solutions informatiques de Risk 
management. 

a. Le referentiel COSO II 

Publie en 2004 par le Committee of Sponsoring Organizations of the Treadway 
Commission, le referentiel COSO II un processus de Risk management en huit etapes. Le 
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modele propose est represente par une matrice tridimensionnelle reliant les objectifs 
organisationnels aux composantes du Risk management et aux differentes entites. 

II s'agit d'une approche globale qui hisse la pratique de management des risques au 
niveau strategique et qui s'applique a toutes les sources de valeur de I'entreprise et non 
seulement les actifs physiques et financiers. Le schema suivant presente les 5 categories de 
sources d'actifs auxquels d'interesse le referentiel COSO II: 


-Terrains 

- Constructions 

- Equiperment 

- Stocks 


- Tresorerie 
-Creances 

- Investissements 

- Fondspropres 



- Clients 

- Reseaude distribution 

- Franchises 


- Employes 

- Fournisseurs 

- Partenaires 


- Leadership 

- Strategie 

- Savoirfaire 

- Valeur 


- Reputation 

- Innovation 

- Systemes 

- Processus 


Figure 5 : Les 5 categories d'actifs auxquels s'interesse le referentiel COSO II 

COSO II poursuit 4 objectifs: strategiques, operationnels, de reporting et de 
conformite, et se decline en huit etapes : 

o Environnement interne (culture du risque, esprit d'organisation) 
o Fixation des objectifs 
o Identification des evenements 
o Evaluation des risques 
o Traitement des risques 
o Activites de controle 
o Information et communication 
o Pilotage 

Selon le referentiel COSO II, le principal defi pour la Direction, reside dans la 
determination d'un degre d'incertitude acceptable afin d'optimiser la creation de valeur. La 
maximisation de la valeur I'entreprise passe par: 

o Aligner I'appetence pour le risque avec la strategie de ^organisation ; 
o Developper les modalites de traitement des risques ; 
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o Diminuer les deconvenues et pertes operationnelles ; 
o Identifier et gerer les risques multiples et transverses ; 
o Saisir les opportunity ; 
o Ameliorer I'utilisation du capital. 

Quant a I'identification et I'analyse des risques (evenements), le modele presente les 
facteurs d'influence (interne/externe), les techniques d'identification et une categorisation 
des evenements, et evoque la notion d'interdependance des evenements. II propose dans le 
guide d'application une multitude d'exemples d'identification d'evenement, distingue entre 
risques inherents risques residuels et propose des methodes quantitatives et qualitatives 
pour 1'evaluation des risques. 

Le traitement des risques s'effectue selon I'une des quatre formes enoncees par le 
referentiel: I'evitement, la reduction, le partage ou I'acceptation, dependamment du cout 
benefice. Enfin, COSO II preconise une revue permanente de I'efficacite du processus en 
interne et une revue specifique par des auditeurs internes. 

b. Le cadre de reference FERMA 

Le cadre de reference de la gestion des risques de FERMA (Federation of European 
Risk Management Associations) est I'oeuvre d'un groupe de travail regroupant les principaux 
organismes de management des risques au Royaume Uni a savoir I'lnstitut of Risk 
Management (IRM), I'Association of Insurance and Risk Managers (AIRMIC) et le National 
Forum for Risk Management in the Public Sector (ALARM). Ce n'est pas un processus de 
certification et n'a pas vocation a etre prescripteur, il presente les meilleures pratiques du 
Risk management a I'aune desquelles les organisations peuvent se mesurer. 

Le referentiel adopte la definition du risques retenue par la norme ISO/IEC Guide 73 
qui le considere comme etant la combinaison de la probability d'un evenement et des 
consequences de celui-ci, pouvant etre positives ou negatives. L'objectif de la gestion des 
risques est done de mobiliser la comprehension des aleas positifs ou negatifs qui derivent de 
tous les facteurs qui peuvent affecter I'organisation afin d'augmenter la probability de 
succes et reduire la probability d'echec et I'incertitude qui s'y rattache. 
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Le referential distingue entre quatre types de risques: Risque pur (Perils), risque 
strategique, risque financier et operationnel, pouvant resulter de facteurs externes et/ou 
internes et definit. II en ressort 10 zones de risques differentes (Figure n° 6) que nous 
presentons dans le tableau suivant: 


Type de risque 

Interne 

Interne et Externe 

Externe 

Risque 

strategique 

Recherche et 
developpement 

Capital intellectuel 

Fusion / Acquisition 
Integrations 

Competition 

Changement des clients ou 
dans I'activite 

Demande des clients 

Risque financier 

Liquidite & Cash-flow 


Taux d'interet 

Taux de change 

Credit 

Risque 

operationnel 

Systeme de controle 
des comptes 

Systemes 

d'information 

Recrutement 

ChaTne 

d'approvisionnement 

Reglementations 

Culture 

Composition de I'instance 
dirigeante 

Risque pur 


Employes 

Mobilier 

Biens et services 

Contrats 

Evenements naturels 

Fournisseurs 

Environnement 


Tableau 1: Les 4 types de risques selon le referential FERMA 
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Oft\6lNE E XTERHe 


TAUX DINTERET 
TAUX OE CHANGE 
CREOIT 


COMPETITION 
CHANGEMENTSDES CLIENTS 
CHANGEMENTS DANS L'ACTMTE 
OEMANDEDES CLIENTS 


FUSION ACQUISITION 
INTEGRATIONS 


LIQUIDITE & RECHERCHE & DEVELOPPEMENT 

CASH FLOW CAPITAL INTELLECTUEL 


ORIGINE INTERNE 


SYSTEME DE CONTROLE 
DESCOMPTES 
SYSTEMES D'INFORMATION 


RECRUTEMENT 
CMAINE D'APPROVISIONNEMENT 


REGLEMENTAHONS 
CULTURE 
COMPOSITION OE 
LMNSTANCE OIRIGEANTE 


EMPLOYES 
MOBILIER 
BIENS& SERVICES 


CONTRATS 
EVENEMENTS NATURELS 
FOURNISSEURS 
ENVIRONNEMENT 


INE EXTERN 


Figure 6 : Les zones de risque selon le referentiel FERMA 

Selon le referentiel FERMA, la gestion du risque protege le patrimoine de 
('organisation et cree de la valeur pour celle-ci et ses parties prenantes en : 

o Fournissant un cadre methodologique qui permet a toute activite future 
d'etre mise en place de fagon coherente et maTtrisee ; 
o Ameliorant le processus des decisions, leur planification et leur 
hierarchisation par une comprehension exhaustive et structuree des activites 
de I'organisation, de la volatility de ses resultats et par I'analyse des 
opportunites ou menaces sur ses projets; 
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o 


Contribuant a I'optimisation de rutilisation/allocation du capital et des 
ressources dans I'organisation; 
o Reduisant la volatility dans les secteurs non essentiels de I'organisation ; 
o Protegeant et augmentant le patrimoine et I'image de marque de 
I'organisation; 

o Developpant et soutenant le potentiel des employes et le capital de 
connaissance de I'organisation ; 
o Optimisant I'efficience operationnelle. 

Le processus de gestion des risques propose par le referentiel se presente comme 

suit: 


Cj 

C 



Figure 7 : Processus de gestion des risques propose par le referentiel FERMA 

Le referentiel reprend la definition de I'appreciation des risques retenue par le Guide 
ISO/IEC 73 comme le processus general d'analyse et devaluation du risque. L'analyse des 
risques recouvre ^identification, la description et I'estimation des risques dans le but de 
definir un profil de risque. Le referentiel retient 5 categories d'activites et de decisions 
pouvant constituer des sources de risques pour I'entreprise : strategiques, operationnelles, 
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financiers, gestion des connaissances et conformite. La description des risques consiste a 
presenter les risques identifies dans un format structure, sous forme de tableau par 
exemple. 

L'evaluation des risques peut etre quantitative, semi-quantitative ou qualitative en 
termes de probability de survenance et de consequences possibles. Aussi bien la probability 
d'occurrence que les consequences, peuvent etre qualifies de fortes, moyennes ou faibles, 
en fonction des criteres predefinis par les dirigeants. 

Les risques une fois identifies, decrits et evalues, doivent etre traites. Le traitement 
des risques consiste a selectionner et mettre en place des mesures propres afin de les 
modifier, les attenuer et les maTtriser. II doit assurer au minimum le bon fonctionnement de 
^organisation, I'efficacite du controle interne et la conformite avec les lois et les reglements, 
tout <pa avec un cout inferieur au benefice potentiel a procurer. 

Ensuite, le systeme de reporting relatif aux risques permet de communiquer des 
informations differentes en interne aux differents niveaux de I'organisation : L'instance 
dirigeante, les unites operationnelles et les individus et en externe aux differentes parties 
prenantes. 

Le referentiel presente les principes de base de la politique de gestion du risque et le 
role des differents acteurs dans un processus de maitrise des risques. II precise notamment 
que la politique generale de gestion des risques doit definir clairement I'appetence de 
I'organisation pour le risque et son approche de gestion des risques. II souligne egalement 
qu'afin que le processus de gestion des risques soit efficace, il important d'avoir 
I'engagement de la direction general et des directeurs executifs de I'organisation, 
I'attribution des responsabilites et des ressources adequates pour la formation et la 
sensibilisation aux risques chez toutes les parties prenantes. 

Enfin, une surveillance et revue de gestion du risque est necessaire pour s'assurer 
que le systeme de gestion des risques est correctement instaurer et suffisamment efficace. II 
convient egalement d'auditer regulierement la conformite a la politique et aux normes et 
d'identifier continuellement des axes amelioration afin d'accompagner devolution de 
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I'organisation et les changements de I'environnement. Le dispositif de revue et de 
surveillance du systeme de gestion des risques doit permettre de determiner si: 
o Les mesures adoptees ont produit les resultats escomptes; 
o Les procedures retenues et les informations recueillies pour entreprendre 
devaluation etaient appropriees; 

o Une meilleure connaissance aurait aide a prendre de meilleures decisions et 
identifier quelles legons pourraient etre retenues pour revaluation et la 
gestion des risques dans le future. 

c. La norme internationale ISQ31000 - 2009 

La norme ISO 31000, Management du risque - Principes et lignes directrices, a ete 
creee dans le but d'aider les organisations a gerer efficacement leurs risques. La norme 
propose et decline les relations entre les principes (presentes ci-dessus), le cadre et le 
processus de management du risque. 

Apres avoir presente le champ d'application et defini les termes cles, la norme 
presente de bout en bout la demarche de mise en place d'un dispositif de management des 
risques. Une attention particuliere est apportee au cadre organisationnel et au mandat 
d'engagement, considere comme un prealable indispensable pour la reussite du projet. 
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Figure 8 : Cadre organisationnel et processus de management des risques - norme ISO/FDIS 31000 


La norme adopte une demarche par processus et insiste sur le fait que le 
management des risques fasse partie integrante du systeme de management, qu'il soit 
integre a la culture et aux pratiques et adapte aux processus metiers de I'organisme. La 
communication et la concertation entre les parties prenantes internes et externes sont 
presentees comme des outils indispensables pour accompagner la mise en place du 
dispositif. 

La norme presente ensuite les principales etapes de mise en place du systeme de 
management des risques qui commencent par I'etablissement du contexte, I'identification 
des risques, ^appreciation et devaluation des risques identifies, I'analyse et le choix des 
options de traitement des risques et le suivi et la surveillance du dispositif. 

d. Le cadre de surveillance des risques des CPA de Canada 

Le Conseil sur la Surveillance des Risques et la Gouvernance (CSRG) des Comptables 
Professionnels Agrees (CPA) du Canada a elabore en 2012 un cadre de surveillance a 
I'intention des administrateurs afin de les aider a accomplir leur mission en matiere de 
gouvernance et de surveillance des risques. 
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Le cadre propose se decline en neuf etapes qui visent a aider les administrateurs a 
mieux identifier et traiter les risques cruciaux, a comprendre les liens entre les differents 
risques et a faire face aux effets multiplicateurs des risques lorsque plusieurs evenements 
defavorables se produisent simultanement. Avant de presenter les neuf etapes du modele 
de gestion des risques suggere par les CPA, presente une liste de questions qu'un 
administrateur devrait se poser sur les differents composants du systeme de surveillance des 
risques. 

Ensuite, il propose une definition de la gestion des risques d'entreprises et du role du 
conseil d'administration a I'egard de la surveillance des risques. Les CSRG definit en effet la 
gestion des risques d'entreprises comme etant « un outil de gestion qui englobe les 
methodes et les processus utilises par les organisations pour gerer les risques rattaches a la 
realisation de leurs objectifs... ».ll assimile le role des administrateurs a celui du comite 
d'audit en ce sens que ce dernier n'etablit pas les comptes et ne gere pas le systeme de 
controle interne. II est plutot charge de surveiller les processus d'information financiere et 
de controle interne qui s'y rapportent. Le role des administrateurs n'est en effet, 
responsable d'identifier et d'attenuer les risques qui se presentent a I'entreprise, mais il doit 
surveiller les systemes et les processus de gestion des risques. 

II presente ensuite les neuf etapes se presentent comme suit: 
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I. Definition 
du contexts 



Figure 9 Les 9 etapes de surveillance des risques selon le referentiel des CPA de Canada 
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Definition du contexte 


Definition du contexte 

Comprehension des conditions actuelles 
dans lesquelles I'entreprise mene ses 
activites du point de vue interne, externe et 
sur le plan de la gestion des risques. 

Identification et classement 

Action de consigner tout ce qui constitue une 
menace importante pour I'atteinte des 
objectifs de /'organisation et pour la valeur 
de ses actifs. 

Analyse des consequences 

Quantification de 1'incidence du risque et de 
sa probability de materialisation. 

Analyse de I'inter-connectivite et de I'effet 
multiplicateur des risques 

Regroupement des risques et comprehension 
de leurs interrelations et interdependences 
ainsi que de I'effet multiplicateur de leur 

materialisation simultanee. 

Nouvelle analyse des consequences 

Nouvelle quantification et, si possible, 

etablissement des distributions de 

probabilites des consequences des risques 

interlies. 

Etablissement des priorites 

Classement des risques par ordre 
d'importance, compte tenu de la gravite, de 
la probability qu'ils materialisent et de la 
possibility de les attenuer. 

Capacite d'assumer le risque, tolerance au 
risque et propension a prendre du risque 

Determination de la capacite de I'entite a 
faire face aux consequences potentielles des 
risques, de sa tolerance au risque et de sa 
propension a prendre des risques. 

Strategic de reponse 

Elaboration de plans visant a eviter, a 
reduire ou a contrdler les risques, a les 
partager ou a s'assurer contre eux, a les 
accepter ou, dans certains cas, a les 
exploiter. 

Suivi 

Evaluation et suivi continus du contexte de 

risques et des resultats des strategies de 
gestion des risques. 
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e. Le modele de gestion des risques par processus 


Ce modele retient une approche par processus pour proposer un modele de 
management des risques. L'activite de I'entreprise est analysee de maniere a decrire 
comment le systeme de decision et d'action est organise et enchaine pour repondre aux 
besoins du client et de I'environnement et creer de la valeur. L'objectif etant d'approcher la 
relation facteurs de risque/Resultat de maniere plus assurees en la decomposant comme 
suit: 

o Relation Processus/Objectifs : les processus et les projets sont analysable a 
partir des resultats vises. 

o Relation facteurs de risque/Processus: les facteurs de risques sont 
analysables a partir des processus. 


Le modele propose d'identifier les processus critiques qui ont un impact 
strategiquement sensible et peuvent contribuer a saisir une opportunity ou a parer une 
menace environnementale (objectifs prioritaires), puis identifier les facteurs de risques qui 
peuvent entraver ou perturber le bon fonctionnement de ces processus. 


Quels sont les facteurs 
pouvant perturber / 
degrader ce processus ? 


Inducteur de 


Processus et 



projets critiques 

risques 



Quels sont les processus qui 
ont un impact significatif 
sur ces objectifs ? 


Objectifs 

prioritaires 


Figure 10 : Le modele de gestion des risques par processus 


Les facteurs de risques peuvent etre lies a : 

o L'articulation du processus avec les autres processus et aux ressources 
qu'elles utilisent; 

o Aux competences individuelles ou collectives requises pour le processus ; 
o Certaines activites du processus lui-meme et aux ressources qu'elles utilisent. 

Plus le processus est critique plus il produit de I'irreversibilite en se deroulant. Les 
ressources sont consommees ne sont plus disponibles, les choix sont faits et non revisables. 
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Processus 

Activite 

Objectif 

Enjeu 

Causes de 
non atteinte 

Dispositif de 
controle 



te 

ale* 




Note de 1 a 3 

Note de 1 a 3 

Note de 1 a 3 

la 27 


* Produit des 3 notes, permet d'apprecier le risque que presente chaque activite/objectif 

Tableau 2 : Tableau d'evaluation des risques selon le modele de gestion des risques par processus 


Le modele preconise aussi la mise en place d'un dispositif de pilotage pour s'assurer 
de la realisation des actions de maitrise de risque decidees, maintenir une vigilance et une 
capacite d'analyse permanente sur les processus critiques. 

f. Le guide PME de la CGEM 

Publie en decembre 2008, le Guide de la CGEM poursuit un objectif de sensibilisation 
des entreprises marocaines a la gestion des risques. Apres avoir definit la notion du risque et 
en quoi les entreprises sont directement concernees par la necessite de le maitriser, le guide 
presente une classification des risques qui distingue : 
o Le risque naturel 
o Le risque industriel 
o Le risque professionnel 
o Le risque informatique (CyberRisk) 
o Autres risques 

Le guide propose ensuite une demarche de gestion des risques en 4 etapes, 
schematisee ci-dessous (Figure 11). Les risques ainsi identifies, analyses et evalues, peuvent 
etre acceptes, evites, reduits, provisionnes (constitution d'une reserve visant amortir 
I'exposition aux consequences du risque) ou transferes (delegues). Une communication sur 
les risques aussi bien interne qu'externe devra accompagner toutes les phases de la 
demarche de gestion des risques. 
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Causes 


Consequences 


Source du risque 


EVENEMENT 

(occurence) 


Impact 


Prevenir & Eliminer 


Identifier 


Techniques de Managemenent 
de Risques 


Produit 

Projet 

Processus 


Questions a (se) poser: 

Que peut-il se passer de mal ? 

Quelles sont les causes ? 

Quelle est la probability d’occurrence ? 
Quelles sont les consequences ? 


Figure 11: Modele de gestion des risques de la CGEM 


L'adoption d'un referentiel de Risk management a pour objectif de garantir une 
approche homogene, globale et structuree d'identification, devaluation et de traitement 
des risques au sein d'une organisation. 

L'ensemble des referentiels et modeles presentes ci-dessus adoptent grosso modo la 
meme demarche globale de gestion des risques. II s'agit d'abord d'identifier, analyser et 
diagnostiquer I'environnement de I'organisation, ses activites et ses relations avec ses 
differentes parties prenantes, afin de deceler les zones de risques auxquels celle-ci peut etre 
exposee. 

Une evaluation est ensuite necessaire pour apprecier le niveau de gravite et 
d'occurrence du risque et des moyens mis en place par I'organisation pour le controler. Les 
risques identifies et evalues doivent donner lieu a des actions correctives et des options de 
traitement pour ameliorer le niveau de maitrise et de resilience de I'organisation. 

Ce systeme de Risk management une fois en place, doit faire I'objet d'une evaluation 
continue pour assurer son amelioration et son efficacite. 
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Chapitre II 

La pratique du Risk management au Maroc 


Peu d'organisations marocaines apprehendent le risque de maniere structuree. En 
effet, excepte les entreprises soumises a une reglementation I'exigeant, les filiales des 
grandes entreprises contraintes de respecter les procedures de leurs maisons meres ou 
quelques cas isoles, la plupart des entreprises marocaines et notamment les PME continuent 
a traiter le risque de fagon opportuniste, sans strategie coherente ni moyens dedies. 

Dans ce chapitre, nous presenterons les resultats d'une enquete que nous avons 
menee dans le cadre de ce travail aupres de 15 PME marocaines dont la methodologie est 
presentee en annexe 1, et qui seront etayes par les resultats de I'etude realisee par des 
enseignants chercheurs a I'Universite Hassan II en 2014 sur « La perception du risque et 
demarche du Risk management: cas des entreprises marocaines » (ci-apres Enquete UHII) 
presentee en annexe 2. 

Les conclusions sont presentees a travers 3 axes d'analyse dans le but de repondre a 
3 questions importantes relatives a : 

o La perception du risque 
o La connaissance du management des risques 
o La pratique du management des risques 

1. La perception du risque 

La perception du risques a ete analysee a travers I'identification des risques les plus 
repondus qui preoccupent les PME marocaines, classes par ordre de gravite et I'impression 
de leur niveau de maitrise par celles-ci sur une echelle de 5 niveaux : Parfaitement maitrise, 
maitrise, moyennement maitrise, faiblement maitrise, pas du tout maitrise. 

Le risque le plus frequemment evoque et le plus grave selon les entreprises 
interrogees, est celui de perte ou de defaut d'un partenaire important. Le deuxieme risque 
en termes d'occurrence et de gravite est celui de ^intensification de la concurrence. 
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Ensuite, les PME redoutent le risque de tresorerie, le risque client et le risque fiscal, 
suivis des risques economique, juridique et operationnel. Le risque des systemes 
d'information vient en sixieme position suivi du risque de fluctuation des prix de matieres 
premieres, risque pays et Homme cle. Les risques lies a I'environnement et a I'image sont 
cites par une seule PME et viennent en derniere position. 

Classementdesrisque selon le niveaude frequence etde 
gravite per?u paries PME 

Requede perte/ default d'un partenai re 
Rsqued'i nten^fscacion deia concurrence 
RsqueTresorerje 
Rsquefiszai 
Rcque client 
Risque operadonnei 
R isqu e eoo nom ique ; oca! 

Risque jur clique 
Risque SI 
Risque Homme cle 
Risque defiuctuation des prix de MP 
Risque pa/s 
Risque environnementai 
Risque de reputation, impede marque 
Risque politique 



Cela montre a quel niveau les PME restent dependantes de leurs partenaires, 
generalement donneurs d'ordre representant leurs principaux clients. Leur structure 
organisationnelle fragile et la faiblesse de leurs fonds propres, les rend tres vulnerables face 
a leurs concurrents. L'impact tresorerie et solvability client se confirment aussi comme des 
risques importants pour les PME qui se montrent toujours frileuses envers les dispositions 
fiscales lourdes a respecter et difficiles a maitriser. Les risques lies a I'environnement et la 
reputation restent peu presents dans la perception des PME. 

La perception de maTtrise de ces risques par les PME interrogees est tres faible. En 
effet, 42% des reponses (PME/Risque) ont qualifie les risques concernes comme faiblement 
maitrises ou par du tout maitrises. 43% considerent que les risques sont moyennement 
maitrises et seulement 15% estiment que ces risques sont maitrises. Aucune reponse n'a 
qualifie un risque de parfaitement maTtrise. Parmi les risques qui semblent les moins 
maitrises on trouve le risque de perte/defaut d'un partenaire et le risque economique local. 
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L'enquete UHII confirme les resultats en ce qui concerne les risques internes avec en 
premiere position les risques operationnels, financiers (tresorerie) et le risque client, suivis 
des risques lies aux systemes d'information et a la fiscalite. 


2. La connaissance du management des risques 

Ensuite, nous avons interroge ces PME sur leur niveau de connaissance du 
management des risques en tant que discipline managerial et ensemble de pratiques visant 
a maitriser les risques au sein des entreprises. 60% des entreprises ayant repondu declarent 
connaitre ou avoir deja entendu parler du management des risques. 47% le pertpoivent 
comme un processus d'amelioration de performance, 33% le considere comme un enjeu 
strategique et 13% le voient plutot comme une reponse aux attentes des parties prenantes. 


Perception du management des risque 


Engage m-ent 
vofontafr-e du 
management 

7% 


Reponse aux 
attentes des 
part-es 
prenantes 
13% 


Processus 
d'ameH orat-on. 
d-e la 

perfo-r finance 
47% 



Enje-u 
str ategique 
33% 


Quant aux referentiels utilises, seul 37% des repondants declarent connaitre au 
moins un referentiel de management des risques (notamment la norme ISO 31000). Une 
seule entreprise declare connaitre le guide publie par la Confederation Generale des 
Entreprises Marocaines (CGEM). 


L'Association Marocaine pour le Risque Management (AMRIM) semble ne pas etre 
connue dans le monde des PME. En effet, seul 18% des entreprises interrogees declarent la 
connaitre et seul 27% sont interessees par y adherer. 

En ce qui concerne la portee strategique du management des risques pour ces 
entreprises, 36% le considere comme vecteurs strategique dans grande mesure. La majorite 
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des PME qui n'integrent pas le management des risques comme vecteur strategique, le 
justifie par le cout eleve et le manque de ressources financiers. Les resultats de l'enquete 
UHII confirme cette perception, en plus de la complexity du processus de mise en place 
evoquee egalement par les entreprises interrogees. 

L'enquete UHII fait ressortir un taux de connaissance du management de risque de 
65% et confirme la norme ISO 31000 comme le referentiel le plus connu avec 49% des 
reponses suivi du referentiel COSO avec 20% de reponses. 

3. La pratique du Risk management 

Une seule entreprise parmi celles interrogees a integre la demarche de management 
des risques, dans les domaines strategique, financier et des systemes d'information. 
L'entreprise s'est appuyee sur ces propres moyens et choisi la norme ISO 31000 comme 
referentiel de mise en place. L'objectif principal etant de se conformer aux exigences d'un 
donneur d'ordre. 

Aucune entreprise ne dispose d'un service dedie au management des risques et seul 
18% projettent de le mettre en place. Quant au service d'audit interne, seul 27% declarent 
en avoir un. Aucune entreprise n'a jamais effectue une cartographie des risques et seules 
18% integrent des indicateurs de gestion de risques dans leurs reportings. 

Enfin, seules les couvertures classiques et obligatoires sont utilisees pour pallier aux 
risques a savoir les assurances (Accident de travail, Multirisques et Maladies). Seules 2 
entreprises declarent recourir aux instruments de couverture de changes. 

L'enquete UHII revele elle aussi que ^integration de la demarche reste limitee et dans 
la pluparts des cas informelles et catonnee aux aspects techniques, informatiques ou 
humaines. Elle confirme que quand il est applique, le risque management n'est pas une 
affaire de specialistes. Elle est en effet dans 57% des cas a la Direction Generale ou a la 
Direction Administrative et Financier. 

Quant a aux methodes de couverture des risques, I'etude confirme la constitution 
d'assurances comme premier moyen de couverture. La constitution de fonds specifiques 
(provisions) ou le transfert sont egalement utilises. 
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Chapitre III 

La PME, definitions, caracteristiques et profils de risque 

1. Definitions de la PME 

II n'existe pas de definition universelle de la PME. L'heterogeneite des definitions a 
donne lieu a plusieurs travaux de recherche visant a identifier les caracteristiques communes 
pouvant encadrer la definition de cette entite. Les premiers travaux remontent aux annees 
soixante avec I'Ecole d'Aston (Pugh et al. 1968-1969). 

La difficulty de I'unification de la definition des PME reside dans le fait que les 
caracteristiques de celle-ci refletent les dimensions economiques, sociales et culturelles de 
leurs pays. L'OCDE souligne dans ce sens, que la « multitude des caracteristiques et de 
strategies politiques attachees aux PME et de conditions economiques dans lesquelles elles 
evoluent rend improbable la formulation d'une definition qui soit generalement utilisee et 
admise des PME... ». 

Face a cette heterogeneite, deux approches differentes ont ete developpees pour la 
definition de la PME. Une approche quantitative s'appuyant sur des indicateurs chiffres 
mesurant la taille de ces entreprises et une approche qualitative basee sur les 
caracteristiques specifiques qui les distinguent des grandes structures. 

A. L'approche quantitative 

L'approche quantitative retient le critere de la taille des entreprises, mesuree 
generalement par I'effectif employe, le chiffre d'affaires annuel et le total du bilan, le capital 
social, la part de marche, I'endettement, etc. Cette approche reste de loin la plus utilisee 
etant donne la facilite de sa mise en oeuvre. Neanmoins, la classification qui en decoule ne 
permet pas d'unifier la definition des PME dans les differents secteurs et encore moins entre 
les differents pays. 
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B. L'approche qualitative 

L'approche qualitative est plus proche de la realite socioeconomiques des PME. Elle 
met I'accent sur les caracteristiques distinctives de celles-ci. Parmi ces caracteristiques, 
certaines specificites permettent de dresser un profil organisationnel des PME. P. A. Julien et 
M. Marchesnay 1 retiennent notamment: 

La petite taille 

La centralisation et personnalisation de la gestion 
Polyvalence et faible specialisation de travail 
Strategie intuitive ou peu formalisee 
Systeme d'information interne simple et peu formalise 
Systeme d'information externe base sur les contacts directs 
Structure d'organisation plate. 

P. A. Julien s'appuie sur la dimension humaine pour definir la PME comme etant 
« une entite de production ou de distribution, une unite de direction et de gestion, sous 
I'autorite d'un dirigeant entierement responsable de I'entreprise, dont il est souvent 
proprietaire et qui est directement He a la vie de I'entreprise » 2 , il met ainsi I'accent sur le 
role omnipresent du Chef d'entreprise. 

Le rapport de BOLTON, publie suite a un travail de recherche conduit en Grande 
Bretagne et preside par J. E. Bolton, definit la PME en se basant sur trois criteres : 

Une direction personnalisee : la PME est dirigee par ses proprietaires d'une maniere 
personnalisee et non pas par une structure managerial formalisee. Elle se 
caracterise ainsi par un organigramme plat (structure en rateau); 

Une part de marche relativement restreinte. Elle a done affaire a plusieurs 
concurrents; 

Independance de la societe. Les filiales des grandes societes sont alors exclues du 
perimetre des PME. 

La forte implication de la Direction generale et I'independance juridique et financiere 
sont les deux criteres repris par I'Encyclopedie de I'Economie et de la Gestion, qui definit les 
PME «comme des entreprises juridiquement et financierement independantes dans 
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lesquelles le dirigeant assume la responsabilite financiere, techniques et sociale sans que ces 
elements soient dissocies ». 

L'approche qualitative est certes, plus pertinente mais plus difficile a mettre en 
oeuvre du fait de la non-disponibilite des indicateurs permettant de les identifier 
statistiquement. 

C. Quelques definitions de la PME 

a. La definition de l’union europeenne 

La premiere definition de I'union europeenne de la PME remonte a 1996. La 
commission europeenne a adopte en 2003 une deuxieme recommandation pour tenir 
compte des developpements economiques intervenus depuis 1996. Cette recommandation, 
entree en vigueur le l er janvier 2005, distingue trois categories d'entreprises en se basant 
trois criteres : I'effectif, le chiffre d'affaires annuel et le bilan annuel. 

L'effectif de I'entreprise associe a I'un des deux autres criteres permet de classer 
I'entreprise dans les I'une de trois categories : Micro entreprise, Petite entreprise et 
Moyenne entreprise. Le schema suivant recapitule les regies de cette classification : 


Categorie 
d'entreprise 

Effectifa: unites 
de travail 
par an (UTA) 

Chiffre Total 

d'affaires ou ; du bElan 
annuel annuel 

Moyenne 

< 250 

£ 50 millions ou 43 millions 
d'euros d'euros 

{40 mfllions d’euroj f 27 millions d r euros 

en 1 996} en 1 996) 

Petite 

<50 

^ 10 millions o 
d'euros 

(7 millions d etnos 
en 

u ^ 10 millions 
d'euros 

fS millions d'euTos 
en 1956) 

Micro- 

< 10 

£ 2 millions D 
d'euros 

(non defini auparavanl) 

u ^ 2 millions 
d'euros 

fnon dsfirsi auparawHit) 


Figure 12 : Matrice des categories d'entreprises selon la Commission Europeenne 
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L'autre nouveaute de cette definition est la prise en compte des donnees des entites 
avec lesquelles I'entreprise a des participations. La recommandation distingue en effet 3 
types d'entreprises : 

o Les entreprises autonomes: ce sont les entreprises ayant des participations 
dans d'autres entites inferieures a 25% ou d'autres entites y detiennent des 
participations inferieures a 25%. Dans ce cas seules les donnees de 
I'entreprise sont considerees pour le calcul des seuils. 
o Les entreprises partenaires: ce sont les entreprises ayant des participations 
dans d'autres entites superieures a 25% et inferieures a 50% ou d'autres 
entites y detiennent des participations superieures a 25% et inferieures a 
50%. Dans ce cas les donnees de ces entites dites partenaires sont prises en 
consideration a hauteur du taux de participation, pour le calcul des seuils. 
o Les entreprises liees: ce sont les entreprises ayant des participations dans 
d'autres entites superieures a 50% ou d'autres entites y detiennent des 
participations superieures a 50%. Dans ce cas les donnees de ces entites dites 
partenaires sont totalement prises en consideration pour le calcul des seuils. 

b. La definition des Etat Unis 

Aux Etats Unis, la definition de la PME differe selon le secteur d'activite. En effet, en 
plus de I'independance aussi bien financiere qu'en termes de gestion, la PME est definie 
selon le chiffre d'affaires et I'effectif dont les seuils varient selon les secteurs. Ainsi, selon le 
Small Business Act (SBA), le seuil de I'effectif d'une PME est fixe generalement a 500 
employes et a 1500 employe dans I'industrie manufacturiere. Quant au chiffre d'affaires, il 
ne doit pas depasser 5 millions de dollars dans les services, 13,5 millions de dollars dans les 
activites commerciales 17 millions de dollars dans le secteur de construction. 

c. Les definitions marocaines 

Au Maroc, plusieurs definitions de la PME peuvent etre recensees. En effet, la 
definition officielle adoptee par la charte PME elaboree en 2002 retient trois criteres. Le 
premier concerne I'independance de gestion qui doit etre assuree par des personnes 
physiques (proprietaires ou actionnaires). Le deuxieme s'attache a I'independance financiere 
et fixe un seuil de detention de 25% par des entreprises ne repondant pas a la definition de 
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la PME. Le troisieme est relatif a la taille mesuree par I'effectif, le chiffre d'affaires et le total 
bilan, dont les seuils sont fixes en fonction de I'anciennete de I'entreprise. 

Ainsi, pour etre qualifies PME, les societes existantes depuis plus de 2 annees 
doivent avoir un effectif inferieur a 200 employes permanents, un chiffre d'affaire annuel 
hors taxes ne depassant pas 75 millions de dirhams et/ou un total bilan limite a 50 millions 
de dirhams. Les societes nouvellement creees sont qualifies des PME si leurs programmes 
d'investissement initial est inferieur ou egal a 25 millions de dirhams et un ratio 
investissement par emploi inferieur a 250.000 dirhams. 

Cette definition demeure tres complexe a mettre en oeuvre et exclue de par les seuils 
tres bas qu'elle retient, plusieurs PME. La definition adoptee par I'Agence Nationale de la 
promotion des Petites et Moyennes Entreprise (ANPME) (desormais Maroc PME), retient le 
seul critere de chiffre d'affaire et distingue trois type d'entreprises : 

o Les tres petites entreprises (TPE): entreprises dont le chiffre d'affaires est 
inferieur a 3 millions de dirhams. 

o Les petites entreprises : les entreprises dont le chiffre d'affaires est entre 3 et 
10 millions de dirhams. 

o Les moyennes entreprises : les entreprises dont le chiffre d'affaires est entre 10 et 
175 millions de dirhams. 

Le Ministere de I'lndustrie et du Commerce definit la PME en s'appuyant sur le seul 
critere de la taille mesuree par I'effectif dont le seuil retenu est de 200 employes 
permanents. La definition distingue les petites entreprises dont I'effectif ne depasse pas 50 
employes, des moyennes entreprises dont I'effectif est entre 50 et 200 employes. 

2. Caracteristiques et profit de risque des PME 

A. Caracteristiques des PME en croissance 

Les PME en forte croissance sont celles qui evoluent dans des conditions 
concurrentielles normales et dont le chiffre d'affaires croTt au-dela d'un certain pourcentage 
par an sur une periode de 5 ans au moins. Ce pourcentage est generalement fixe a 10%. Ces 
entreprises presentent des caracteristiques specifiques dont notamment: 
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a. Un besoin en fonds de roulement difficile a maitriser 


La croissance du chiffre d'affaires enframe d'une part, un besoin de stockage plus 
important, et d'autre part un rallongement des delais d'encaissement en raison de I'effort 
commercial consenti afin de developper le portefeuille client. Les delais de paiement 
fournisseurs peuvent egalement etre raccourcis si I'entreprise s'adresse a de nouveaux 
fournisseurs afin de couvrir ^augmentation de ses besoins d'approvisionnement et de 
profiter de I'accroissement de ses commandes pour obtenir des conditions plus 
interessantes aupres de fournisseurs plus gros. 

b. Un taux de marge en erosion 

En augmentant ses ventes, la PME se trouve souvent amenee a reduire ses prix de 
vente afin de pouvoir maintenir son rythme de croissance et atteindre sa taille critique. Ceci 
est d'autant vrai quand la croissance s'appuie sur une conjuncture sectorielle favorable. 
Celle-ci pouvant attirer de nouveaux entrants et accentuer la concurrence, ce qui entraine 
une forte pression sur les marges. 

Le seul moyen pour preserver son niveau de marge est de construire un avantage 
concurrentiel durable pour justifier le maintien de ses prix. 

c. Des fonds propres insuffisants 

Cela s'explique par la faiblesse des resultats degages en periode de croissance en 
raison de I'importance des couts de structure, conjuguee a une sous-capitalisation due a la 
faible capacite financiere des fondateurs et aux risques de dilution. 

Les fonds propres peuvent se renforcer, dans le cas ou la croissance est accompagnee 
d'une forte rentabilite conjuguee a un taux de retention eleve des benefices. Mais ils 
demeurent generalement, insuffisants pour repondre a I'accroissement des besoins de 
financement des investissements et du cycle d'exploitation. 

d. Un niveau d'endettement eleve 

Le financement des investissements importants necessaires pour accompagner la 
croissance (productifs, commerciaux et logistiques), ne pouvant etre assures par les capitaux 
propres, les PME en croissance se trouvent done contraintes de faire appel massivement au 
financement bancaire. Le niveau d'endettement, mesure par le ratio des Dettes rapportees 
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aux Capitaux propres (gearing), se trouve done a un niveau tres eleve en attendant le retour 
sur investissement et la consolidation des fonds propres. 

e. Un effectif en forte croissance 

Les PME en forte croissance creent plus d'emplois que les autres. Souvent, les taux 
de progression des effectifs sont quasi proportionnels a devolution du chiffre d'affaire. 

B. Profit de risque des PME 

La defaillance des PME est un phenomene de plus en plus croissant. Le taux de 
mortalite des PME ne cessent en effet d'augmenter. Plus de 5800 entreprises ont fait defaut 
en 2015, soit une progression de 15%. La situation devrait se degrader en 2016 selon Euler 
Hermes Acmar qui prevoit 6400 entreprises defaillantes, soit une augmentation de 10%. 


Defaillance d’entreprises 2007 - 2016 



Source : Euler Hermes - * Previsions 

En analysant la definition de la PME, notamment I'approche qualitative, et les 
principales caracteristiques des PME en croissance presentees ci-dessus, nous pouvons 
degager un profil de risque de ces entites, qui se presente comme suit: 

a. Le risque de dependance a l’entrepreneur 

L'approche qualitative de definition de la PME retient principalement le caractere de 
la gestion personnalisee s'appuyant sur un organigramme plat et concentre sur une 
personne ou un nombre tres limite de personnes. On entend d'ailleurs souvent parler 
d'Homme cle. Cette structure si elle presente I'avantage d'etre simple, souple et permet une 
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efficacite dans la prise de decision, elle constitue un risque important qui resulte de la 
dependance de la structure a cette (ces) personne(s), ce qui met en peril sa perennite. 

L'evolution de la structure de ces PME, rendue necessaire par la croissance de leur 
taille, s'accompagne par un processus de delegation de responsabilite et des pouvoirs. Ce 
qui revet inevitablement un risque important de perte de controle avec tous les derapages 
qui peuvent en resulter. 

b. Le risque strategique 

Dans les PME, la strategie est souvent intuitive et peu formalisee. La mauvaise 
definition ou la non-maitrise de la strategie de croissance, peut mettre en peril la perennite 
de I'entreprise et accelerer sa defaillance. 

En effet, la PME en croissance doit analyser de tres pres son marche, ses concurrents 
et son environnement afin de se positionner clairement sur le segment le plus favorable au 
regard de ses competences cles. Une forte croissance non maTtrisee car non basee sur un 
avantage concurrentiel durable, verifie, rentable et inimitable, entraine rapidement un effet 
de ciseaux irreversible. L'entreprise se retrouve alors fortement engagee dans une demarche 
d'investissement et de recrutement massive et ne pourra supporter un retournement de 
situation. 

c. Le risque financier 

Caracterisee generalement par sa faible surface financiere, et le manque structurel 
de liquidite, la PME en forte croissance est toujours en quete de fonds pour assurer le 
financement de ses investissements et ses besoins d'exploitation qui accompagnent 
^acceleration de son activite. L'insuffisance des fonds propres d'une part, et la frilosite des 
bailleurs de fonds face a une structure financiere qui devient desequilibree d'autre part, 
expose la PME au risque de s'etouffer et ne plus parvenir a lever des fonds supplementaires 
pour financer son expansion. II peut meme la conduire a une situation de cessation de 
paiement. 

Une etude de I'OCDE realisee en 2002 decrit le defi de financement de la croissance 
chez la PME dans ces termes : « La forte croissance a un cout que beaucoup de PME ne 
peuvent pas supporter seules. L'aptitude d'une entreprise a connaitre une forte croissance 
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depend largement de la capacite du systeme financier a relever le defi du financement de la 
croissance ». 

Le risque se trouve en effet, amplifie par I'inequation du systeme d'analyse et de 
traitement des credits adopte par le banquier, et le modele entrepreneurial de la PME. En 
effet, alors que le banquier adopte une vision refractaire, privilegiant les projets 
courtermistes avec rendement immediat tout en accordant une grande importance aux 
garanties reelles, la PME est motivee par I'opportunite a saisir, prend des risques, oriente ses 
projets sur le long terme et ne dispose pas de garanties. 

En effet, selon une etude realisee par le cabinet de conseil Epitaphe 11 , plus de 50% 
des PME interrogees considered que les exigences des banques sont de moins en moins 
accessibles pour I'octroi du credit, aussi bien en matiere de donnees financiers que de 
garanties et de cout. Face a cette impasse, 58,60% declared se financer en fonds propres et 
43,5% affirment ne pas avoir eu recours au credit bancaire durant les 3 dernieres annees, 
dont 74% n'ont pas effectue d'investissement durant cette periode. 

La lenteur du processus de traitement, le manque de transparence et le cout eleve 
des solutions proposees par les banques represented d'autres facteurs de risques pouvant 
entraver la croissance d'un PME et la mettre en difficulty. 

d. Le risque operationnel 

La croissance rapide des activites peut cacher certain dysfonctionnements 
operationnels pouvant couter cher a la PME. A titre d'exemple, le rallongement des delais 
d'encaissement, induit par la volonte de constituer et fideliser le portefeuille clients, expose 
la PME au risque d'impaye et mettre en peril sa perennite. De meme, une defaillance sur la 
qualite des produits peut se traduire par la perte de la confiance des clients qui sera difficile 
a reconstruire. 

e. Risque juridique et social 

La croissance rapide entraine generalement beaucoup d'interaction avec les 
partenaires (clients, fournisseurs, sous-traitants, bailleurs...). Ces relations, quand elles ne 
sont pas encadrees par des contrats bien negociees dans I'interet de la PME, represented 

11 Resultats publies par le quotidien I'Economiste le 15 decembre 2015 
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un risque important pouvant engendrer des consequences dramatiques. La PME est 
egalement exposee au risque juridique lie aux obligations de conformite a la reglementation 
en vigueur, generale ou specifique a son secteur d'activite. 

D'autres parts, etant donne le faible attrait de la PME pour les ressources qualifies, 
le recrutement rapide qui accompagne la croissance des activites et qui se fait generalement 
sans tenir compte de la coherence organisationnelle et des equilibres economiques de la 
PME, peut se traduire par I'accumulation de ressources inappropriees et en decalage avec le 
projet de developpement. La rectification de cette situation comporte un risque social 
important dont la PME se trouvera amenee a supporter le cout. 
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Chapitre I 

Proposition d'un guide methodologique a l'usage des PME 


La mise en place d'un systeme de management des risques est une demarche 
structuree qui commence par une reflexion generale sur le perimetre, le cadre de reference 
et I'articulation avec les processus strategiques et metiers de I'entreprise. 

Cette phase prealable, permet de determiner les orientations principales des 
mecanismes de gestion des risques a mettre en place et de construire les piliers sur lesquels 
reposera I'ensemble du systeme. Pour les PME, cette etape structurante peut etre realisee 
en repondant a 3 questions principales : 

Quel perimetre de risque cibler ?: Une etude de la strategie de I'entreprise, de sa 
chaine de valeur et ses processus cles, permet de definir les zones de risques a traiter 
en priorite. 

Quel referentiel adopter ?: II s'agit de definir les principales caracteristiques de la 
politique de risque selon I'attitude de I'entreprise face aux risques et son aversion 
aux risques. 

Quelle organisation adopter ?: L'analyse de la filiere de risques au sein de 
I'entreprise permet de construire un schema organisationnel adapte pour repartir les 
roles entre les differentes parties prenantes du systeme. 

Ensuite, I'entreprise doit definir et mettre en place les methodes d'identification et 
devaluation des risques adaptees a sa politique de risque, construire sa cartographie de 
risques et mettre en oeuvre les outils de maitrise et les indicateurs de suivi de ses risques. 

Toutes ces etapes seront developpees ci-apres dans le cadre d'une demarche 
simplifiee adaptee aux PME (designee ci-apres par RmPME) et qui peut etre schematisee 
comme suit: 
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Figure 13 : Modele de management des risques PME (RmPME) 








1. Cadre organisationnel et cartographie des risques 


Le cadre organisationnel correspond a la structure mise en place au sein de 
I'entreprise afin de concevoir, mettre en place, evaluer et ameliorer les dispositifs de 
controle et de maitrise des risque generes par I'environnement externe et I'articulation 
interne des differents niveaux du management de celle-ci. 

Selon la norme ISO FDIS 31000, la conception du cadre organisationnel de 
management des risques necessite la comprehension du contexte de I'entite concernee. Le 
but etant de concevoir une politique globale de management des risques, de repartir les 
roles et les responsabilites, affecter les ressources et de definir les mecanismes de 
communication internes et externes. 


Mandat ct engagement 
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Figure 14 : Cadre organisationnel de management des risques selon la norme ISO FDIS 31000 


A. Schema organisationnel du RmPME 

Dans une PME, generalement peu structuree, il est difficile de concevoir un cadre 
organisationnel pouvant garantir la separation des roles entre les fonctions operationnelles 
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et les organes de controle. La mise en place de fonctions dediees au controle (audit interne, 
comite d'audit, risk manager...) s'averent couteuse et non justifiee. 

Dans ce contexte, I'instauration d'une culture de risque et d'un systeme de valeur 
partage par I'ensemble des composantes autour des objectifs strategiques de I'entreprise, 
en s'appuyant sur la simplicity et la fluidite de I'organisation, reste le meilleur moyen pour 
doter la PME d'un cadre organisationnel efficace de management des risques. 

II convient done de s'appuyer sur les differentes fonctions de I'entreprise afin 
d'instaurer des processus de controle simples et fluides en privilegiant I'autocontrole. Le 
systeme de reporting et les procedures operationnelles represented les meilleurs moyens 
pour structurer la diffusion de I'information et I'alimentation du systeme de veille de 
I'entreprise d'une part et la formalisation des mecanismes de controle et de prevention des 
risques. 

La structure organisationnelle que nous proposons pour le management des risques 
au sein des PME s'appuie sur 3 lignes de maitrise : 
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Figure 15 : Cadre organisationnel du RmPME 

La structure interne de gouvernance: Les administrateurs et les actionnaires 
definissent la politique globale de risque et fixe les objectifs strategiques. 
Generalement peu nombreux, les membres de I'organe de gouvernance arrivent 
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facilement a formuler la strategie et a definir les objectifs cles et dont les processus 
critiques de leur activity. 

La structure interne de gestion : 

o Les dirigeants (ou gerants) appliquent les orientations strategiques et 
declinent les objectifs strategiques en objectifs operationnels. La simplicity de 
la structure et la fluidity de ^organisation permet une remontee 
d'information rapide et peu filtree. Ce qui permet une reactivity et une 
efficacite de traitement des risques emergeant et facilite I'apprentissage et 
I'amelioration du dispositif. 

o Les managers et les fonctions de support traduisent les objectifs 
operationnels en procedures de gestion et de reporting et participent ainsi a 
la creation d'un referentiel de controle interne et de maitrise des risques. 

Les controles externes : Les PME constitutes en societes anonymes sont obligees de 
par la loi de nommer un commissaire aux comptes charge de realiser un audit legal 
annuel. II en est de meme pour les Societes a Responsabilite Limitee (SARL) dont le 
chiffre d'affaires depasse les 50 millions de dirhams. Le commissaire aux comptes 
produit a I'issu de sa mission un rapport general sur la regularity, la sincerity et 
I'image fidele des comptes annuels ainsi qu'un rapport special sur les verifications 
specifiques telles que I'existence de conventions reglementees et le respect d'un 
certain nombre de dispositions legales. 

En outre, dans certain cas, la PME peut etre amenee a effectuer un audit financier ou 
operationnel exige par un organisme externe. L'exemple le plus repondu est celui des 
banques dans le cadre du traitement des demandes de credit ou encore des societes 
de capital-risque dans le cadre des due diligences qui accompagnent une operation 
de prise de participation. 

Certains organismes gouvernementaux peuvent egalement exiger un rapport d'audit 
externe pour debloquer une subvention ou accorder une attestation ou un statut. La 
fonction d'audit interne peut se mettre en place progressivement dans le cadre du 
processus d'amelioration pour accompagner la maturity du systeme de Risk 
management et les organismes de regulation peuvent dans certains secteurs jouer 
un role important dans ce processus. 
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B. Politique de gestion des risques du RmPME 

Faisant partie du cadre organisationnel du management des risques, la politique de 
management des risques est definie par ISO Guide 73-2009 comme etant une declaration 
des intentions et des orientations generates d'un organisme en relation avec le management 
des risques. 

II s'agit d'un engagement et une philosophie adoptee par les dirigeants de 
I'entreprise et de toutes les parties prenantes qui definit les objectifs escomptes, le 
perimetre, les attentes, la culture et le referentiel retenu pour la mise en place du systeme 
de management des risques. 

La politique des risques permet egalement de definir le modele devaluation des 
risques, les metriques et les seuils associes, les criteres de priorisation et les modalites 
d'arbitrage. Parmi les criteres devaluation les plus repondus : 

La probability d'occurrence (frequence): 

Mesure la survenance de I'evenement sur une periode de temps choisie. L'echelle 
peut s'etaler sur 5 niveaux : Improbable, Peu probable, Probable, Tres probable et 
quasi-certain, avec des definitions precises de chaque niveau de l'echelle consideree. 

Le niveau de gravite (impact): 

Mesure les consequences d'un evenement redoute. 5 niveaux de gravite peuvent 
etre retenus : Negligeable, Faible, Moyen, Eleve et Critique. 

Le niveau de maitrise actuel (securite existante): 

Mesure la qualite du dispositif de securite actuel des risques. Une echelle 
devaluation de 5 niveaux peut etre retenue : Inexistant, Faible, Moyen, Bon et Tres 
bon. 

D'autres criteres peuvent egalement etre pris en compte comme la detectabilite du 
risque ou I'etendu de la population concernee. La criticite est mesuree par le produit de 
I'occurrence et du niveau de gravite (Criticite = Gravite x Probability d'occurrence). 
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Pour revaluation des risques au sein des PME nous proposons le modele devaluation 


suivant: 
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Figure 16 : Modele devaluation des risques RmPME 


En fonction du conteste et de la complexity de I'activite et de I'environnement, il est 
possible de reduire ou d'augmenter les niveaux des echelles devaluation de gravite, de 
probabilite deccurrence et de maitrise. 


La politique de risque doit etre revue et mise a jour periodiquement et reponse aux 
modifications pouvant intervenir sur son activity, son organisation et son environnement. 


C. La cartographie des risques 

La cartographie des risques est une demarche de conception pour une presentation 
concise sous forme de carte, de la hierarchy des risques dans une organisation donnee. Elle 
permet de d'etablir un etat des lieux global des vulnerabilites, dans un perimetre defini et 
selon un systeme devaluation adapte. 


Sa simplicity et la clarte de sa presentation en font un outil important d'aide aux 
decisions, de maitrise et de pilotage des risques. Elle permet en effet, de partager une vision 
globale des enjeux et une demarche homogene de leur maitrise et d'inculquer une culture 
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de risque au sein de I'organisation a travers une sensibilisation et une appropriation a tous 
les niveaux. 

La cartographie des risques est la premiere phase du processus de management des 
risques (phase Appreciation des risques selon la terminologie de la norme ISO 31000). Elle 
consiste a identifier les risques, les evaluer et les representer graphiquement en fonction de 
leur impact et leur probability d'occurrence. 

L'elaboration d'une cartographie des risques suit une demarche de projet, avec un 
pilotage strategique sous I'autorite de la direction generale, une conduite operationnelle par 
un groupe de travail professionnel designe, un echeancier de realisation et des indicateurs 
de suivi. Le processus passe par les 4 etapes suivantes : 

Description du perimetre : Definir les processus et les activites faisant partie du 

perimetre designe par la Direction dans sa politique de risque; 

Identification des risques; 

Evaluation des risques detectes : noter les risques sur la base des criteres retenus par 

la Direction dans sa politique de management des risques; 

Hierarchisation des risques evalues et presentation graphique ; 

La reussite d'une cartographie est fortement tributaire de I'implication de tous les 
acteurs de I'organisation concernee, des niveaux les plus hauts de la hierarchie jusqu'aux 
equipes operationnelles de terrain. Elle repose sur une methodologie simple et efficace et 
des actions concretes et realisables avec une actualisation continue pour accompagner 
devolution de la strategie et de I'activite. 

II existe deux approches possibles pour mener une cartographie des risques. 
L'approche Top-Down consiste s'appuie sur une implication du niveau le plus eleve de la 
hierarchie jusqu'aux directions operationnelles ou fonctionnelles de I'entreprise. Elle permet 
d'obtenir une vision globale sur les menaces sur les enjeux majeurs et d'echanger sur une 
lecture transverse des risques. Autres avantages importants de cette approche est de 
permettre de partager la meme comprehension globale des risques par les dirigeants et 
favorise I'adhesion de ceux-ci qui deviennent des promoteurs du processus. En outre, elle 
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permet d'obtenir des resultats rapides ce qui facilite la mise en oeuvre d'un premier niveau 
de management des risques. 

L'approche Bottom-Up quant a elle, privilegie I'implication des niveaux operationnels 
en remontant jusqu'au responsable de I'activite ou de I'entite analysee. Cette approche plus 
detaillee, necessite des ressources importantes mais presente plusieurs avantages dont 
notamment: 

Permet d'identifier des menaces qui entravent la realisation des activites permettant 
la realisation des objectifs operationnels ; 

Favorise I'identification des risques situes aux frontieres entre processus ; 

Permettre d'identifier les risques meconnus de la hierarchie ; 

Permet d'obtenir des informations detaillees et une quantification reposant sur un 
historique ou une analyse concrete. 

Dans notre guide propose pour les PME, nous privilegions l'approche descendante 
(Top-Down) etant donne I'importance d'obtenir I'adhesion et I'implication de I'equipe 
dirigeante qui centralise le processus decisionnel. 

a. Identification des risques 

^identification des risques est une etape cruciale dans le processus d'elaboration de 
la cartographie des risques. Elle permet en effet, de reperer les risques significatifs pouvant 
affecter la survie de I'organisation ou reduire ses performances. La demarche globale a 
suivre se presente comme suit: 

Etablir une description precise des processus du perimetre choisi et identifier les 
risques pouvant entraver la realisation des objectifs qui leurs sont assignes; 

Definir un format de document de collecte (Fiches de risques) et de suivi (Registre 
des risques); 
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FICHE DE RISQUE: 


Date de MAJ 

Process 

Objectif /Enjeu 

Categorie 

Proprietaire 







OJ 

3 

Description 

Causes potentielles 

Consequences potentielles 

Q* 

*Z 

3 

■u 

c 

o 




to 

Probability d'occ. 

Gravite 

Criticite 

Tendance 

Indicateur de suivi 

c 

OJ 

E 

3 

u 

O 

Q 








Dispositif de controle 

Responsable 

Niveau de maTtrise 

Maitrisc 






Risque residuel 

Probability d'occ. 

Gravite 

Criticite 

Justification 

Residue 







c 

o 

Action 

Responsable 

Echeance 

€ 

ra 

c 

J2 

Q. 





Figure 17 : Exemple de fiche de risque (RmPME) 


Identification 

Appreciation 

Risque 

Objectif 

Processus 

Causes 

Consequences 

Occurrence 

Impact 

Criticite 

Que peut-il 
se passer ? 

Quel objectif 

est 

compromis ? 

Quel 

processus est 

concerne ? 

Quelles sont 

les causes 
possibles ? 

Quelles sont les 

consequences 

possibles ? 

1= Ra re 

2= Peu probale 

3= Probable 

4= Tres probable 

5= Presque certain 

1= Negligeable 
2= Faible 

3= Moyen 

4= El eve 

5= Critique 

Ca leu lee 


























Figure 18 : Exemple de registre de risques (RmPME) 
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Recuperer les informations existantes : Rapports d'audit, Rapports d'assurance, 
etudes de marche, historique des incidents, releves de plaintes et reclamation, 
polices d'assurance, etats financiers, manuel de procedure... 

Construire un univers de risque type adapte a I'entreprise. Ci-apres un modele type 
d'univers de risque pour la PME. 


Risques externes 

- Partenaires 


- Economique 



- Legislation 


- Concurrence 


- Demande client 


- Politique 


Risques internes 

Strategiques 

| Financiers | 

Operationnels 

SIG 

| Juridiques 


1 

Processus 

1 




Ressources 

Produit/Service 

Canaux de distribution 



Business modele 

Liquidity 

Recrutement 

Developpement 

Disponibilite 

Integrity 

Conformite 

Positionnement 

BFR 

Gestion de competences 

Qualite 

Adequation 

Disponibilite 

contrats 

Integration 

Financement 

Personnes cles 

Capacity de production 

Developpement 

Dependence 

Conflits 

Competences 

Cout financier 

Formation/Motivation 

Technologie 

Fiabilite 

Fiabilite 

Responsabilite 

Cycle de vie 

Changes 

Approvisionnement 


Notoriete - Image 

Security 

Propriety 



Relations fournisseurs 


Cout 

Maintenance 

industrielle 



Cout d'achat 



Confidentiality 




Qualite 



Infrastrucutre 



Sous-traitance 






Gouvernance - Environnement - Integrity - Ethique - Communication externe - Image 
Figure 19 : Univers de risques (RmPME) 

Organiser des visites physiques, des entretiens avec les acteurs et des ateliers de 
brainstorming et de simulation de crises... 

Confronter les informations recueillies afin d'en assurer la coherence et s'appuyer sur 
I'univers de risques pourtendre vers I'exhaustivite. 

b. Evaluation et presentation des risques 

II s'agit d'evaluer les risques detectessur la base des criteres retenus et suivant 
I'echelle devaluation definie par la Direction dans sa politique de management des risques. 

Une fois devaluation est arretee avec le consensus de toute I'equipe du projet, les 
risques sont hierarchises et represents graphiquement. Plusieurs types de presentations 
sont possibles : 

o Le diagramme de Farmer: II s'agit d'une matrice a double axes representant 
la cotation des risques identifies en termes de gravite et de frequence. II 
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Gravity 


permet de distinguer 3 categories de risques pour definir et prioriser ensuite 
les actions a envisager afin de les eliminer, les maitriser ou les reduire. 

Probabilite d’occurrence 

l- Rare 2 - Peu probable 3 - Probable 4 - Tres probable 5 - Quasi-certain 

5 - Critique 
4 - Eleve 
3 - Moyen 
2 - Faible 
1 - Xegligeable 

Figure 20 : Matrice de probabilite/Gravite 

o Horizons de risques: Cette presentation permet de classer les risques 
visuellement par horizon en distinguant les risques proches (a moins d'un an), 
les risques a moyen terme (1 a 3 ans) et les risques a long terme (plus de 3 
ans). 



o Graphique de criticite : II permet de representer les risques selon leur criticite, 
calculee sur la base des criteres susmentionnes. La criticite, produit de la 
gravite et de la probabilite d'occurrence, est classee sur une echelle de 5 
niveaux : Tres elevee, Elevee, Moyenne, Faible et Tres faible. II affiche pour 
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chaque categorie de risque, le nombre de risques classes dans chaque niveau 
de criticite. 



Risques Risques Risques Risques Risques SI 

strategiques operationnels financiers juridiques 

■ Tresfaible ■ Faible ■ Moyenne ■ E levee Treselevee 

Figure 22 : Classement des risques par categorie et par niveau de criticite 

o La presentation en bulles des risques: Cette presentation 
quadridimensionnelle permet de representer les risques par processus, selon 
leur criticite et leur niveau de maitrise. 

Les risques sont effet, represents pour chaque processus avec des bulles de 
tailles differentes et de couleur plus ou moins fonces. La taille des bulles est 
proportionnelle a la criticite, et la bulle est d'autant plus sombre que le risque 
est peu maitrise. 
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Figure 23 : Presentation de la criticite/maTtrise des risques en bulles 

o Radar de maitrise des risques : Permet de representer les risques selon leur 
niveau de maitrise. 


Risques 

strategiques 



Figure 24 : Radar de maitrise des risques 

o Matrice MaTtrise/Criticite des risques : Permet de representer les risques 
selon leur niveau de maitrise et leur criticite. Cette matrice permet de 
prioriser les actions a mettre en oeuvre pourfaire face aux risques. 
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Actions prioritaires 
x% des risques (N risque) 

Niveau de maTtrise 

a confirmer 

Zone a surveiller 

Zone a surveiller 


+ 


MaTtrise 


Figure 25 : Matrice Maitrise/Criticite des risques 


Zone d'actions prioritaires: Risques critiques penpus comme 
faiblement maTtrises. Le plan d'action doit s'orienter prioritairement 
vers cette zone. 


Zone de maTtrise des risques a confirmer: Risques critiques pertpus 
comme bien maitrises. Actions de controle a planifier pour s'assurer 
que le niveau de maTtrise reel correspond au niveau pertpu. 


Zone a surveiller: Risque de faible importance pertpu comme 
faiblement maitrises. Des actions permanentes doivent etre 
menees pour s'assurer que leur niveau est toujours faible et le que 
leur niveau de maTtrise s'ameliore. 


Zone de vigilance: Risque de faible importance pertpu comme 
fortement maTtrises. Des actions periodiques doivent etre planifiees 
pour s'assurer qu'ils restent maTtrises. 
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2. Systeme de traitement des risques 

A. Demarche de mise en place d’un systeme de traitement des risques 

Le traitement des risques est un processus iteratif qui consiste a prendre des 
decisions eclairees et efficaces pour mettre en place des plans d'action de mitigation et de 
contingence. Chaque risque prealablement identifie, analyse et evalue, fait I'objet, en 
fonction de sa priorite, d'une ou plusieurs actions de controle et de suivi. Ces actions mise en 
oeuvre, sont ensuite evaluees et modifiees en fonction de la nouvelle evaluation des risques. 


Mettre en place 
un traitement 


Si pas tolerable, 

genererun Evaluer I'impact 

nouveau du traitement 

traitement 


Evaluer le niveau 
de risque residuel 


Figure 26 : Processus iteratif de traitement des risques 





La definition du traitement a appliquer pour chaque risque consiste a choisir entre 
plusieurs options possibles ce qui implique de comparer les couts et les avantages de chaque 
option, tout en prenant en compte les obligations legales et reglementaires. II importe de 
souligner que les options ne s'excluent pas et peuvent etre combinees au besoin pour une 
meilleure maitrise des risques. 
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II est tres important que toutes les parties prenantes soient impliquees dans le 
processus de choix des options a retenir pour chaque risque, notamment ceux qui peuvent 
avoir un impact significatif sur I'ensemble de I'organisation. 

Le traitement d'un risque peut engendrer des risques secondaires qui doivent etre 
analyse, traites et surveilles au meme titre que le risque original. II convient que le lien entre 
les deux risques soit identifie et fasse I'objet d'un suivi. 

Le plan de traitement a pour but de definir les options retenues pour le traitement 
des risques identifies mais aussi de documenter la demarche de choix et de mise en oeuvre 
de ces options. II convient done d'integrer dans le plan de traitement des risques : 

Les raisons de choix des options retenues, leurs couts et leurs avantages ; 

La repartition des roles et des responsabilites quant a I'approbation des plans d'une 
part et de leur mise en oeuvre d'autre part; 

Les actions proposees classees par ordre de priorite ; 

Les ressources a affecter pour la mise en place de I'action ; 

Les indicateurs de mesure de la performance et des contraintes ; 

Le planning de realisation et de suivi. 

Les resultats des actions mises en oeuvre et devaluation du risque residuel doivent 
etre documentes, communiques aux parties prenantes, suivis et faire I'objet d'un nouveau 
traitement supplemental. 

B. Les options et les strategies de traitement des risques 

Plusieurs options de traitement de risques sont possibles en fonction de sa criticite, 
du cout et des avantages que represente chaque option : 

Accepter et tolerer le risque 

Dans ce cas, aucune action a mettre en place. Cette situation peut se justifiee par le 
fait que le risque est d'une criticite tres faible pour I'entreprise, ou le cout 
disproportionne de I'action appropriee par rapport a I'avantage escompte de sa 
maitrise. En effet, le traitement des risques engage des ressources de I'entreprise qui 
doivent etre affectees en priorite aux risques les plus critiques. 
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II peut resulter egalement de I'incapacite de faire face au risque. C'est le cas d'un 
risque externes par exemple sur lequel I'entreprise ne peut avoir aucune influence 
directe. Une entreprise qui opere dans un secteur caracterise par une forte presence 
de I'informel, ne peut en effet limiter le risque de copie et de concurrence deloyale 
qu'en rendant son offre plus innovante et plus elaboree et ses processus plus reactifs 
et plus flexibles. 

- Traiter le risque 

Mettre en place une ou plusieurs actions pour maitriser le risque suppose que ces 
risques ne soient pas tolerables et que I'entreprise dispose de la capacite d'influence 
et des ressources a engager pour les traiter. Le traitement du risque consiste selon 
les cas, a : 

o Le reduire : Mettre en place des actions de preventives, de correction ou de 
protection, pour limiter la criticite du risque en reduisant sa frequence de 
survenance, son impact ou augmenter son niveau de maitrise. 

Face au risque client, une entreprise commerciale peut par exemple mettre 
en place un plan de prevention dont I'objectif est de reduire le taux de defaut 
a un niveau acceptable clairement annonce dans le plan de traitement. 

o Transferer ou partager le risque : II s'agit des contrats d'assurance et de 
financement des risques. Le transfert ou le partage des risques doit etre 
precede par un traitement de reduction de ces risques a leur niveau le plus 
bas, les risques residuels sont ensuite quand il est possible, transferes 
moyennant des contrats d'assurance ou d'autres mecanismes de couverture 
de risque. 

L'entreprise commerciale susmentionnee peut egalement, si le risque residuel 
reste significatif, decider de transferer son risque client a son assureur ou a un 
organisme de factoring. 

o L'eliminer: Eliminer la source du risque. Ce traitement quand il est possible 
est le meilleur car il permet de supprimer le risque definitivement. Ce 
traitement dit aussi d'evitement, consiste par exemple d'abandonner une 
activite ou un produit qui deviennent risques ; 
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Si Ton reprend I'exemple ci-dessus, I'entreprise peut envisager de changer de 
canal de distribution afin d'eviter le type de clientele actuelle dont le risque 
de defaut est eleve. 

Prendre le risque 

Certains risques faisant partie du coeur de metier de I'entreprise sont pris par celle-ci 

comme etant des opportunites. A ce titre, meme les risques accepte, reduits ou 

transferes peuvent faire I'objet d'une prise de risque deliberee selon I'appetence aux 

risques. 

3. Marketing RM et gestion de changement 

La communication n'est pas une etape distincte qui intervient a moment donne du 
processus. C'est une composante essentielle du systeme qui s'integre dans toutes les phases 
de mise en place, de fonctionnement et de pilotage du processus de management des 
risques. 

Dans la phase d'indentification et devaluation des risques, la communication permet 
de nouer des contacts pertinents avec les sources d'information et done de faciliter la 
collecte d'informations fiables sur les risques existants. Les entretiens avec les acteurs, les 
questionnaires et les ateliers de brainstorming sont autant d'outils de communication 
utilises pour recenser les risques dans les differents niveaux de ^organisation. 

La communication permet egalement de s'assurer que tous les acteurs comprennent 
la strategie de risque de leur entreprise, ses priorites, leurs roles et leurs responsabilites 
dans le fonctionnement du systeme de management des risques. 

C'est egalement un outil d'apprentissage et de diffusion de bonnes pratiques. Le 
systeme de management des risques sera necessairement ameliore a travers I'experience et 
la reaction aux evenements quotidiens. Ce retour d'experience est ensuite communique de 
maniere transversale, aux autres composantes de ('organisation pour un apprentissage 
commun. 

Les managers et les dirigeants ont eux aussi besoin d'une remontee d'information 
leur permettant de piloter le systeme de management des risques et de s'assurer de son 
efficacite. Cette communication ascendante est tres importante pour maintenir les 
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processus de management des risques alignes avec les orientations strategiques de 
I'organisation. 

L'entreprise a besoin aussi de communiquer avec ses differents partenaires a la fois 
pour identifier et comprendre leurs attentes de securite que pour leur communiquer le 
niveau d'assurance de son systeme de management des risques. 

La conduite d'un projet de mise en place d'un systeme de management des risques 
implique des changements importants qu'il faudra gerer et promouvoir aupres des differents 
acteurs de I'organisation. « Vendre » le projet de Risk management dans une structure 
familiale, caracterisee par une tradition de « I'orale » n'est pas une tache evidente. II 
convient avant tout que le dirigeant et les responsables montrent leur adhesion au projet et 
le presente a toutes les parties prenantes leur engagement, a travers la mise en place du 
dispositif, a proteger leurs interets respectives au sein de I'organisation. 

Le projet de mise en place d'un systeme de Risk management ne doit pas etre 
positionne comme un processus contraignant, mais comme une un standard international 
necessaire pour ameliorer la performance de l'entreprise et initier une transformation 
culturelle au niveau transversal qui reunit toutes les composantes autour d'un objectif 
commun : Valorisation et protection du patrimoine de l'entreprise. 

II s'agit done d'une demarche pedagogique qui vise a expliquer aux differentes 
parties prenantes que I'application des procedures ne premunit pas contre les risques 
incertains et cumulatifs et interactifs. A contrario, le recours a une methodologie structuree 
d'analyse et de traitement, dans un cadre collectif permet de reduire I'exposition aux risques 
et d'etre pret a les affronter. Aucun corpus de procedures ne peut prevoir I'inevitable ou 
I'inimaginable, mais I'instauration d'une ethique de responsabilite et d'un esprit bien forme, 
sensibilise et motive permet d'anticiper, reagir et gerer les pires situations. 

5. Pilotage du systeme Risk management 

A. Pilotage et evaluation du dispositif de Risk management 

Une fois le dispositif de management des risques est en place, un processus de suivi 
et devaluation doit etre instaure pour s'assurer de I'efficacite des controle mis en place 
d'une part et d'identifier les eventuels modifications des profils de risques recenses dans la 
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cartographie des risques. II doit permettre en effet, de detecter les risques emergents, 
1'evolution en hausse ou en baisse de la criticite des risques existants, de mesurer I'efficacite 
des controle mis en place et de mettre a jour les plans d'action. 

L'evaluation d'un systeme de management des risques peut se faire par rapport a 
plusieurs criteres. FERMA retient par exemple la conformite et la maturite pour evaluer les 
dispositifs de management des risques. Ces deux criteres permettent de distinguer 5 profils 
de risques : 

Les urgentistes: Ce sont les systemes de management des risques d'un niveau de 
conformite eleve, mais qui manque de maturite. 

Les legalistes : Systemes de management des risques matures et d'une conformite 
elevee. 

Experiments : II s'agit des dispositifs de management des risques matures avec une 
conformite moyenne. 

Insouciants : Systemes de management des risques qui se caracterisent par une 
faible maturite et un faible niveau de conformite. 

Offensifs : II s'agit des systemes de management des risques matures avec un faible 
niveau de conformite. 


Conformite + 
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Une autre methode devaluation consiste a apprecier I'efficacite d'u systeme de 
management des risques en se basant sur I'adequation de la maturite des pratiques avec les 
objectifs et la fiabilite des dispositifs mis en oeuvre. II s'agit en effet, d'evaluer le dispositif 
par rapport aux cinq axes suivants : 

Le niveau d'alignement avec la strategie 
La gouvernance et I'organisation 
Les processus et modes operatoires 
Le Reporting et la communication 
La culture, les competences et I'appropriation 


Chaque axe est analyse selon plusieurs criteres sur une echelle graduelle permettant 
de le qualifier d'emergent, basique, satisfaisant ou de bonnes pratiques. 


Evalutaion du dispositif 


Axe Criteres 

Emergent 

Basique 

Satisfaisant 

Bonnes 

pratiques 

Algnement strategique Alignement Risque/Objectif 

Role du RM dans le processus decisionnel 
Appetence pour le risque / strategie de 
traitement 

Role du RM dans I'orientation strategique 





Gouvernance et organisation Soutien de la Direction Generale 

Roles et responsabilite 

Modele organisationnel 





Process et modes operatoires Cartographie des risques 

Base de donnees des incidents 

Sytemes d'alerte 





Reportinge et communication Reporting interne et externe 

Tableau de bord 

Procedures de remontee des risques 





Cultures, competence et Comportement / Ethique - chartes 

appropriation Competences / Formation en gestion des 

risques 

Prise en compte des risques dans 
revaluation de la performance 





Tableau 3 : Tableau d'evaluation du systeme de management des risques 

Standard & Poor's retient quatre niveaux d'evaluation d'un systeme de management 
des risques : 
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Excellent 

■ Capacite a identifier, mesurer et gerer les expositions aux risques au 
sein de tolerances 

■ Developpement et execution avancee du programme ERM 

■ Optimisation continue du resultat ajuste du risque a tous les niveaux 
de I'organisation 

Solide 

■ Vision claire des tolerances au risque et du profil global du risque 

■ Les controles des risques sont« solides » pour la majorite d'entre eux 

■ Processus robuste permettant d'identifier et preparer les risques dits 
« emergents » 

■ Introduit la gestion des risques dans le processus de decision 

Adequat 

■ Dispose de controles operants pour la majorite des risques encourus 

■ Absence de processus robuste concernant les risques « emergents » 

■ Realise effectivement la gestion des risques, mais avec une vision non 
consolidee 

■ Absence de processus d'optimisation du resultat ajuste du risque 

Faible 

■ Processus de controle incomplets pour un ou plusieurs risques 
majeurs 

■ Capacite limitee d'identification ou de mesure des risques encourus 

Tableau 4 

: Criteres d'evaluation d'un systeme de management des risques - Standard & Poor's 

Pour I'evaluer le systeme de management des risques au sein d'une PME, nous 

proposons les criteres suivants avec une echelle a 4 niveaux : Excellent, Satisfaisant, Moyen 

et faible. 


Excellent 

■ Risques majeurs identifies et maitrises 

■ Capacite a anticiper les risques « emergents » 

■ Cartographie des risques diffusee a tous les niveaux 

■ Existence d'un systeme de reporting simple et efficace 

■ Culture de risque diffusee 

Solide 

■ Risques majeurs identifies et suffisamment controles 

■ Veille permettant de detecter les nouveaux risques au niveau du Top 
management 

■ Cartographie connue par les principaux intervenants 

■ Remontee periodique des informations des managers operationnels 
et des auditeurs vers la Direction Generale 

■ Organisation flexible favorisant la diffusion de la culture de risque 

Adequat 

■ Presence de controles permettant de maTtriser la plupart des risques 
majeurs 

■ Faible capacite d'anticipation des risques emergents 

■ Implication de la Direction Generale dans le processus de maTtrise des 
risques mais faible diffusion dans les niveaux operationnels de 
I'organisation. 

Faible 

■ Manque de processus de controle de risques critiques 

■ Absence d'outils d'anticipation des nouveaux risques 

■ Faible implication de la Direction Generale dans le processus de 
management des risques 

Tableau 5 : Criteres d'evaluation d'un systeme de management des risques - RmPME 
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B. Reporting (mettre sous pression...) 

Une fois mis en place, le systeme de management des risques doit pouvoir generer 
un reporting destines aux managers et a la direction generale sur les risques emergents, 
I'etat d'avancement du plan d'action et I'efficacite des dispositifs mis en place pour la 
maitrise des risques identifies. 

a. L'anticipation des risques emergents 

Le risque management permet l'anticipation des risques pouvant surgir et entraver la 
bonne marche des activites de I'entreprise, et ce a travers le suivi des indicateurs cles de 
risques (KRI: Key Risk Indicators). 

Ces KRI sont definis pour chaque risque potentiel pouvant entraver le bon 
fonctionnement d'un processus responsable d'un objectif strategique de I'entreprise. Nous 
retrouvons ainsi I'approche par processus adoptee pour I'identification des risques exposee 
ci-dessus. Le schema suivant presente les etapes de definition des KRI selon une approche 
par les processus : 



Figure 28 : Demarche de definition des KRI selon le referentiel COSO 

La demarche d'identification des risques emergeants s'appuie fortement sur I'analyse 
du passe afin de comprendre la succession et ^interconnexion des evenements ayant cause 
au final I'emergence des risques. Les KRI sont definis ensuite pour chaque etape identifiee. 
Plus on remonte dans le passe des evenements plus on augmente le niveau d'anticipation 
des risques avant leur survenance. 
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Prenons I'exemple d'une chame de restauration. Un des objectifs strategique du 
business model pourrait etre d'augmenter les recettes a travers la proposition de nouveaux 
produits dits Primum destines a etre vendus a des prix superieurs a I'offre actuelle a une 
frange de clientele ciblee. 

Les processus impliques dans cette strategie seraient le processus developpement 
qui devra construire une nouvelle offre de produits pouvant apporter une valeur superieure 
aux clients et le processus de commercialisation qui devra concevoir une politique 
commerciale adaptee. 

Pour chaque processus, il faudra definir les risques emergents pouvant entraver son 
efficacite. A titre d'exemple, le processus de commercialisation serait tres sensible au prix de 
vente et du pouvoir d'achat de la clientele cible. Un KRI pertinent serait done celui qui 
permettra a I'entreprise d'anticiper une mauvaise adequation du positionnement prix choisi 
et le pouvoir d'achat des clients. 

De par sa connaissance des caracteristiques de la clientele cible ou en se basant sur 
des etudes existantes ou realisees a ces fins, I'entreprise peut done identifier les evenements 
pouvant affecter le pouvoir d'achat de celle-ci. Cela peut etre par exemple devolution des 
indices des prix d'un composant essentiel et volatil dans le cout de la vie de cette frange de 
population. 

L'augmentation de prix du carburant peut dans certains contextes avoir une influence 
directe sur le pouvoir d'achat et done sur le comportement de ces consommateurs et leur 
capacite a frequenter des restaurants et de s'offrir des produits Primum. Une fois 
I'identification de I'evenement declencheur du dysfonctionnement, I'entreprise doit 
remonter dans son analyse aux evenements racines pouvant conduire a sa realisation. Dans 
cet exemple, ceci pourrait consister a observer les prix du petrole dur le marche mondial et 
peut aller plus loin pour suivre les politiques economiques des grands pays qui controlent ce 
marche. Des KRI tels que I'indice du prix du gasoil et le prix du baril peuvent ainsi etre suivis. 

Ces indicateurs une fois definis, ils doivent faire I'objet d'une mise a jour en continu 
pour etre adaptes aux changements de la strategie de I'entreprise. Le risque defini en tant 
que I'ecart des realisations par rapport aux objectifs fixes, provient souvent de la variability 
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non anticipee ou mal anticipee de I'environnement. D'ou la necessite de reviser les KRI et les 
mettre a jour afin de mieux les adapter aux nouvelles caracteristiques de I'environnement. 

Dans notre exemple susmentionne, une veille devra etre instauree pour suivre 
1'evolution des composantes de la consommation de la population cible afin d'adapter les 
KRI aux eventuels changements de celles-ci. 

b. Avancement du plan d’action et efficacite des dispositifs mis en place 

L'autre fonction du reporting est de remonter aux managers I'etat d'avancement des 
actions decidees et I'efficacite des dispositifs en place dans la maitrise des risques 
repertories. Une revue periodique (mensuelle ou trimestrielle) peut etre organisee pour 
discuter de ces points et decider des actions correctives oui complementaires a mettre en 
oeuvres pour I'amelioration des processus en place et le monitoring des plans d'actions. 

Le tableau recapitulate suivant peut etre retenu comme support de communication 
de ces elements de reporting : 


95 




Reporting SMR : Suivi de realisation des plans d'action et evaluation de I'efficacite des controles existants 


Identificatior 

| Evaluation initiale 

Revue d’efficacite 

Plan d'action initial 

Plan d'action complementaire 

Processus 

Object if 

Risque 

Controles 

existants 

Notation 

MaTtrise 

Criticite 

residuelle 

Niveau de maTtrise 

actuel 

Incidents 

Actions 

corrective 

Initiale 

Responsable 

Echeance initiale 

Statut 

Evaluation 

du statut 

Nouvelles 

actions 

Responsable 

Echeance 

Quel 

processus est 

concerne ? 

Quel objectif 

est 

compromis ? 

Que peut-il 
se passer ? 

Quels sont 

les controles 

prevus pour 

gerer Ce 
risque ? 

1= Tres bon 

2= Bon 

3= Moyen 

4= Faible 

5= Inexistant 

Ca leu lee 

O : S'ameliore 

O : Stagne 

O :En baisse 

Liste des incidents 

observes 

Action 

planifiee 

initialement 

Responsable 
de Taction 
planifiee 
initia lement 

Echenace 

definie dans le 
plan d'action 
initial 

Realisee 

En cours 

Reta rdee 

Annulee 

Resulta ts 

Actions 

correctives 

Responsable 

de Taction 

corrective 

Echenace de 

1 'action 

corrective 


































































































Tableau 6 : Tableau devaluation de I'avancement du plan d'action de management des risques - RmPME 
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Afin qu'il soit efficace, un systeme de Risk management doit etre pergu comme un 
dispositif d'aide a la decision et d'amelioration de performance et non seulement un outil de 
conformite. II s'agit en effet d'une culture et d'une approche managerielle qu'il faut ancrer 
dans le processus strategique et operationnel de I'entreprise. La creativite, la simplicity, le 
pragmatisme et I'implication de I'ensemble des collaborateurs represented des enjeux 
importants pour la reussite de cette demarche. 

La demarche de management des risques ne doit pas etre pergue comme un dossier 
supplemental a traiter a part par les managers, mais elle doit etre integree aux processus 
de pilotage de I'entreprise. Le management des risques permet en effet, de faciliter 
I'affectation des ressources aux projets de I'entreprise et d'anticiper les incertitudes et les 
evenements pouvant affecter la realisation des objectifs. 

Dans la pratique, la reussite d'une demarche de Risque Management se mesure par: 

une reduction de la variability des resultats de I'entreprise 

une meilleure allocation des ressources de I'entreprise 

une reduction des pertes operationnelles et des anomalies 

un meilleur taux de succes des projets d'entreprise 

un renforcement de la confiance des parties prenantes dans d'entreprise 

L'ensemble des outils presentes ci-dessus sont regroupes dans un guide 
methodologique a I'usage des PME en annexe 3. 
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Chapitre II 

Elaboration d'un SRM pour la societe Folly Fashion 

1. Presentation de la societe Folly Fashion 

A. Fiche signaletique et organigramme 


Norn et raison sociale 

FOLLY FASHION 

Enseigne de distribution MARWA 

Forme juridique 

SA 

N° de Registre de 
Commerce 

126175 (Casablanca) 

Date de creation 

Octobre 2003 

Capital social 

49.643.000,00 DH 

Adresse du Siege 

37 Rue du Marche, Maarif. Casablanca 

Site web de I'entreprise 

www. ma rwa .com 


Organigramme de Folly Fashion 



B. Presentation 

Cree en 2003, Folly Fashion est une societe de conception, fabrication et de 
distribution de produits d'habillement pour femmes. II s'agit d'un projet integre de la 
creation des collections jusqu'a leur distribution au client final a travers un reseau de point 
de vente sous I'enseigne Marwa. 

Depuis sa creation, la strategie de Marwa a ete de democratiser la mode en offrant 
une mode pudique a destination des femmes juniors et des jeunes femmes actives de 15 a 
40 ans, aussi la societe a developpe un important reseau de distribution sous sa propre 
marque. 
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Disposant de 60 magasins au Maroc et 4 a I'etranger, I'enseigne offre une tres large 
gamme de produits a meme de satisfaire tous les besoins d'habillement des clientes en 
vetements, chaussures et accessoires, ceintures, echarpes etc., permettant d'habiller les 
clientes de la tete aux pieds. 

La societe a beneficie depuis sa creation d'un financement en fonds propres des 
capital risqueurs, ce qui lui a permis d'acceder rapidement aux methodes de gestion 
avancees et de d'un encadrement de haut niveau. 

La societe a su en effet, mettre en place une structure apprenante qui s'adapte pro- 
activement aux enjeux de developpement du projet qui a ete marque par les 4 principales 
etapes suivantes: 

■ 2003-2005 - Conception et validation du concept Marwa 

Marwa a demarre en decembre 2003 avec deux magasins a Casablanca et Rabat. 
L'objectif etait d'asseoir I'image de la premiere enseigne de mode marocaine sur un marche 
ouvert aux enseignes internationales. 

Le concept a ete tres bien accueilli et en I'espace d'un an, avec seulement deux 
magasins, Marwa etait deja pergue comme I'enseigne la plus branchee de la place. Elle est 
devenue connue pour sa creativite, son rapport qualite/prix et assimilee aux marques 
internationales auxquelles elle est souvent comparee par la clientele et attisait meme 
I'interet des franchiseurs. C'est ainsi qu'en 2005, Marwa a pu lancer les deux premieres 
franchises a Rabat et a Agadir en plus d'un magasin en propre au Marjane Rabat Hay Ryad. 
La reussite de Marwa s'appuie essentiellement sur: 

■ La creativite de son offre 

■ La flexibility de sa structure 

■ L'experience du promoteur 

■ 2006-2008 - Consolidation du reseau 

La deuxieme phase de developpement de Marwa a ete consacree au developpement 
du reseau national et a la mise au point du business modele. Les ouvertures de magasins se 
sont ainsi succedees dans les villes les plus dynamiques du royaume. La presence de Marwa 
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sur la metropole Casablanca a ete renforcee par le lancement de deux magasins au Bd 
d'Anfa et a Marjane Derb Sultane. Quatre autres magasins ont ete lances a Meknes, 
Marrakech, Oujda et El Jadida. En 2007 Marwa a lance son troisieme magasin a Rabat au 
Mega Mall, ainsi que deux autres sur le territoire marocain. Ces ouvertures ont permis a 
I'enseigne d'ameliorer considerablement sa notoriete et d'assurer un bon maillage du 
marche local. 

■ 2009-2011 - Developpement a ('international 

Tout en developpant son reseau local, Marwa a amorce son internationalisation en 
ouvrant 5 magasins a I'etranger dont 4 en Arabie Saoudite, en partenariat avec un grand 
master franchise local, et un magasin en France a Perpignan. Par ailleurs, en 2009, Marwa a 
ouvert 7 nouveaux magasins au Maroc. 

■ Depuis 2012 - Acceleration de la croissance du reseau Marwa et maillage serre du territoire 
national 

A partir de 2012, la societe a developpe son reseau a raison de 10 a 15 magasins par 
an contre 6-7 dans les annees precedentes. 

En 2013, le reseau Marwa a connu I'ouverture de 14 nouveaux points de vente au 
Maroc, portant I'enseigne de 38 a 52 magasins. L'extension du reseau a concerne 
notamment les grandes villes a fort potentiel telles que Casablanca, Rabat et Fes. L'enseigne 
a egalement investi des villes moyennes a potentiel prometteur telles que Mohammedia. 

En 2014, le reseau est passe de 52 a 56 points de vente, avec I'ouverture de 7 
magasins en propre, 1 franchise au Maroc et enfin le retrait de la master-franchise en Arabie 
Saoudite, le partenaire n'ayant pas respecte ses engagements contractuels en termes de 
developpement du reseau en Arabie Saoudite et de respect des standards de gestion 
Marwa. 

Malgre ces fermetures, I'enseigne a conquis de nouvelles positions a I'export: 

Retour dans les pays du Golfe des aout 2014, avec I'ouverture d'un premier point de 

vente a Bahrein, puis un deuxieme magasin fevrier 2015 

- Ouverture de 2 points de vente en Libye en 2013 et 2014 

- Creation d'un Joint-Venture en Algerie et ouverture de 4 points de vente. 
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Le concept de Marwa se base sur la proximite avec ses clientes et une reelle strategie 
d'identite et de marque, il consiste a investir intensivement sur un univers identitaire 
coherent, qui associe dans un meme mouvement, la marque/enseigne, I'architecture du 


magasin, la gamme de produits et la communication. 

En effet, Marwa a cree une identite de marque unique : Fashion, Pudique et 
Populaire. Le concept concilie en effet, entre la creativite selon les tendances internationales 
de la mode, les particularity d'une clientele cible sensible a la mode mais conservatrice et 
I'agressivite prix, cheval de batail dans les marches de masse. 


Marketing Mix 


Produits et 

Services 

■ Une offre sans cesse renouvelee aux tendances de mode 

■ Maitrise des valeurs vehiculees par la marque : mode pudique 

■ Assurer un critere de differenciation par les services : vente assistee, 
etc. 

■ Garantir une excellente experience en magasin 

La politique produit de Marwa est de maintenir un caractere original et 
exceptionnel de I'offre grace a des mini-collections qui n'ont pas vocation 
a etre reconduites permettant de creer une attractivite du point de vente, 
d'assurer une meilleure rotation des stocks, de generer des achats 
d'impulsion et d'inciter la cliente a revenir. 

Politique de prix 

■ Une politique de prix tres agressifs pour contrer I'informel et les 
discounters internationaux 

■ Strategie du prix per?u 

■ Grace a une maitrise des couts de creation et de fabrication et bonne 
connaissance de la supply chain, les prix de vente de Marwa sont tres 
competitifs 

Communication 

■ Vehicule de communication : les magasins et leurs emplacements 

■ Programme de fidelisation 

■ Lancement d'une strategie de marketing viral, efficace et a peu de frais 

Distribution 

■ Extensive avec un large reseau de magasins en propre et de franchises 
sous une enseigne Marwa 


L'analyse SWOT de la societe Folly Fashion se presente comme suit 
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Opportunities 


Menaces 


- Marche local potentiel important dans le 
segment entree/moyen de gamme cible par 
I'enseigne 

- Une demande de plus en plus avertie et a la 
recherche de nouvelles tendances avec un 
excellent rapport qualite-prix 

- Budget des families consacre a I'habillement 
plus important et le developpement de 
I'habillement comme un axe de communication 
de la personnalite 

- Entree d'enseignes internationales structurante 
pour le marche; 

- Marche du Moyen-Orient en forte mutation et 
represente un relais de croissance interessant; 

- Developpement de I'offre de locaux 
commerciaux avec le developpement des 
centres commerciaux 

- L'emergence de concepts de veritables 
discounters et I'entree massive des discounters 
europeens et turcs 

- Offre locale dominee par I'informel 

- Distribution sur le marche local peu 
developpee et des circuits de distribution peu 
structures ou organises (souks, galeries 
marchandes, boutiques independantes, sans 
marques) 

- ^intensification de la concurrence avec le 
developpement de nouvelles enseignes 
marocaines 

- La faible integration en amont et la forte 
dependance des importations en intrants 
constitue un frein a I'innovation et au 
developpement d'une offre locale forte, 
competitive et solide. 


Forces Faiblesses 


- Experience du promoteur dans le secteur 
textile/habillement; 

- Concept novateur et repondant aux normes 
internationales du marche de I'habillement 
feminin; 

- Notoriete acquise de la marque ; 

- Offre competitive en qualite/prix par rapport a 
la concurrence; 

- Modele de gestion inspire des enseignes 
internationales de I'habillement; 

- Business model: assurant une tres bonne 
rentabilite des I'atteinte de la taille critique ; 

- Systemes d'information performants 

- Maitrise de la chaine logistique 

- Emplacements « prime » des magasins. 

- Insuffisance des ressources financieres 
actuelles par rapport a I'ambition ; 


2. Cadre organisationnel et politique de gestion des risques 

A. Cadre organisationnel 

Tel que presente ci-dessus, la societe Folly Fashion est structuree en poles d'activite. 
Le pole Produit est directement rattache a la Direction generale et les autres poles 
operationnels sont chapotes par un Directeur general adjoint qui rapporte a la Direction 
generale. 
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Sur le terrain, I'organisation est beaucoup plus fluide et moins cloisonnee. La 
direction generale et la direction generale adjointe animent les equipes autour de projets 
identifies et les challenge sur un plan d'action annuel. La communication est ouverte et peu 
formalisee. Une reunion du management impliquant tous les managers de la societe (les 
responsables des departements) se tient chaque lundi pour des feedback structures et des 
echanges d'information afin que tous les managers soient alignes. 

En termes de reporting, chaque departement dispose d'un tableau de bord 
operationnel qu'il alimente et ameliore continuellement. Les reporting sont tres reguliers, 
fiables et tres simples a exploiter, ce qui fournit aux decideurs des donnees pertinentes et 
actualisees. Les reporting integrent dans la plupart des cas des indicateurs sur les risques et 
permettent de detecter les defaillances probables afin de les anticiper. 

Un reporting financier est communique aux dirigeants, aux administrateurs et aux 
actionnaires, de maniere reguliere chaque mois, dans les 3 jours suivant la fin du mois. 

Les procedures sont simples, claires et connues, meme si elles ne sont pas toutes 

ecrites. 


En termes de gouvernance, la societe Folly Fashion est une societe anonyme dotee 
d'un conseil d'administration compose de 4 administrateurs. Le conseil d'administration est 
preside par le Directeur general qui est egalement actionnaire de reference et fondateur du 
projet. Son role est de fixer la strategie de developpement, de structurer la politique de 
financement et de maitriser les risques lies au projet. 

Les comptes de la societe sont certifies par un commissaire aux comptes et audites 
par un auditeur contractuel. 

La societe ayant beneficie a plusieurs occasions du soutien de I'Etat dans le cadre des 
programmes d'appui aux PME, fiat I'objet de controle et d'audit par des auditeurs 
independants mandates par les organismes publics concernes. 
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Figure 29 : Cadre organisationnel de la societe Folly Fashion 

B. Politique de gestion des risques 


Comme defini ci-dessus, la politique de gestion des risques est un engagement et une 
philosophie adoptee par les dirigeants de I'entreprise et de toutes les parties prenantes qui 
definit les objectifs escomptes, le perimetre, les attentes, la culture et le referentiel retenu 
pour la mise en place du systeme de management des risques. Elle se traduit par un modele 
devaluation des risques, les metriques et les seuils associes, les criteres de priorisation et les 
modalites d'arbitrage. 


La politique de gestion des risques de la societe Folly Fashion se presente comme 

suit: 


La probability d'occurrence (frequence): 

L'echelle devaluation de la probability de survenance des evenements retenue par la 
societe integre 5 niveaux: Improbable, Peu probable, Probable, Tres probable et 
quasi-certain qui se definissent comme suit: 


104 












Criteres de 
realisation 

Evenement attendu 
dans la plupart des cas 

Realisation 

calendaire 

Immediat 

Probability de 
realisation 

> 50% 

5 

Presque certain 

4 

Tres probable 

Evenement qui 
survient souvent 

6 mois 

> 30% 

3 

Probable 

Evenement courant 

12 mois 

> 20% 

2 

Peu probable 

Evenement qui risque 
de produire a un 
moment donne 

3 ans 

> 10% 

1 

Rare 

Evenement dont la 

survenance est 
exceptionnelle 

5 ans 

< 10% 


Figure 30 : Matrice d'evaluation de la probability de survenance des risques (RmPME) 

Le niveau de gravite (impact): 

Le modele d'evaluation de la gravite des evenements identifies utilise 5 niveaux : 
Negligeable, Faible, Moyen, Eleve, Critique. 


Le niveau de maTtrise actuel (securite existante): 

Pour mesurer la qualite du dispositif de gestion des risques existant, une echelle 
d'evaluation de 5 niveaux est retenue : Inexistant, Faible, Moyen, Bon et Tres bon. 
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Gravite 


Niveau de criticite Niveau de maitrise 

Probability d’occurrence Dispositif de securite 




- Tres bon 

- Negligeable 


- Bon 

- Faible 


- Moyen 

- Moyen 

- Eleve 

- Critique 

- Rare 

- Peu probale 

- Probable 

- Tres Probable 

- Quasi-certain 

- Faible 

- Inexistant 

Criteres d'evaluation : 

Criteres d'evaluation : 

- Perte directe / Indirecte 

- Structuration du process 

- Efficience 

- Reversibilite 


- Stabilite 

- Cout estime 


- Controle permanent 

- PCA 

12345 

1 j 

123 

1_ 

451234; 

_1 


-X “ 

— Criticite 



-> 


-> 



Gravite 

Gravite 

Pobabilite 

Probability 

Dispositif 

Dispositif 

negligeable 

critique 

faible 

elevee 

deficient 

efficient 


Figure 31: Matrice d'evaluation de la criticite et des risques residuels (RmPME) 


3. Cartographie des risques 

A. Univers des risques 

La societe Folly Fashion exerce 5 metiers : La creation (stylisme/modelisme), la mise 
au point industrielle (le montage du prototype), la production, la logistique et la distribution. 



Finances 


Ressciunces humaines 
Systemes dinformations 
Supports 
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L'analyse de ces activities nous permet de definir I'univers de risque suivant: 


Risques externes 

- Partenaires 

- Concurrence 


- Economique 

- Demande client 


- Legislation 

- Politique 


| Risques internes 

Strategiques 

| Financiers | 


Operationnels 


1 SIG 

| Juridiques 


1 


Processus 


1 




Ressources 

Produit/Service 

Canaux de distribution 



Business modele 

Liquidite 

Recrutement 

Developpement 

Disponibilite 

Integrite 

Conformite 

Positionnement 

BFR 

Gestion de competences 

Qualite 

Adequation 

Disponibilite 

contrats 

Integration 

Financement 

Personnes cles 

Capacite de production 

Developpement 

Dependance 

Conflits 

Competences 

Cout financier 

Formati on/Moti vati on 

Technologie 

Fiabilite 

Fiabilite 

Responsabilite 

Cycle de vie 

Changes 

Approvisionnement 


Notoriete- Image 

Sec u rite 

Propriete 



Relations fournisseurs 


Cout 

Maintenance 

i ndustri el 1 e 



Cout d'achat 



Confident a lite 




Qualite 



Infrastrucutre 




Sous-traitance 






Gouvernance - Environnement- Integrite- Ethique- Communication externe - Image 

Les risques externes proviennent principalement des partenaires de la societe. A tire 
d'exemple, les sous-traitants assurent aujourd'hui 70% de la production de la societe. Une 
defaillance de cette categorie de partenaire peut causer d'enormes degats qui se traduiront 
par des pertes financiers immediates mais aussi des problemes d'image et de satisfaction 
des clients, pouvant compromettre le developpement du projet a moyen et long terme. 

Les partenaires financiers (les banques essentiellement) represented egalement une 
source de risque importante. Un disengagement d'une banque peut en effet, mettre en 
difficulty la societe et retarder son developpement. 

L'activite de la societe s'adressant aux clients finaux, est tres sensible aux conditions 
economiques du marche interieur. L'instabilite economique, la faible maitrise du niveau de 
I'inflation et le manque d'encouragement de la demande interne peuvent avoir des effets 
nefastes sur e potentiel de developpement de la societe. 

La perennite de la societe peut egalement etre affectee par Les changements 
politiques et reglementaires en lien avec son domaine d'activite. 

Sur le plan strategique, les risques sont principalement lies a la pertinence du 
business model, le positionnement marketing et la maitrise des cycles de vie des collections, 
notamment sous I'effet de la concurrence de plus en plus rude et de la politique de 
developpement a ^international de la societe. 
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Dans une activite marquee par la complexity du processus creatif et de 
developpement de I'offre, ^integration de competences et leur fidelisation constitue un 
enjeu important. 

L'univers des risques trace egalement les zones de risques dans les domaines 
financiers, juridiques et par rapport au Systeme d'lnformation de Gestion (SIG) ainsi que 
celles liees aux differents processus operationnels. 

Dans ce qui suit, nous presentons la cartographie des risques de 3 departements cles 
de I'entreprise, a savoir le departement Retail (Gestion de la distribution), le departement 
des Systemes d'information et le departement de gestion de production. 

B. Cartographie des risques et plans d'actions 

a. Departement Retail 

Le Retail represente un maillon important de la chaine de valeur de la societe et une 
partie integrante de son cceur de metier. 

Le departement Retail est charge de la gestion des operations de vente a travers le 
reseau de magasins Marwa. Sa mission consiste a recruter, former et animer la force de 
vente. II se charge egalement de la gestion des points de vente, le merchandising et de 
I'application de la politique commerciale. 

Identification des risques 

L'analyse de I'activite Retail nous a permis d'identifier 4 processus metier qui se 
presentent comme suit: 

o Vente : II comprend toutes les operations liees a la vente qui commencent a partir de 

I'exposition des produits en surface de vente jusqu'a leur vente au client final; 

o Encaissement: II s'agit des operations permettant la gestion des recettes encaissees 

par le point de vente; 

o Gestion du stock : la reception, la reconnaissance et la mise en reserve des articles ; 

o Gestion d'image : II s'agit de toutes les operations de merchandising visuel, de 

marketing relationnel et de service a la clientele. 
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Le diagnostic de ces differents processus operationnels a permis d'identifier les 
risques presents en annexe 4, classes par ordre de criticite. 

Evaluation des risques 

Les risques identifies ont fait I'objet d'une evaluation sur la base de la probability de 
leur frequence de realisation et de la gravite de leur impact sur les objectifs du processus et 
de la fonction dans son ensemble. 

II a et egalement pour chaque risque identifie un horizon de realisation et un 
responsable. Les controles existants ont ete ensuite identifies et evalues selon leur 
pertinence et leur efficacite. Le resultat de cette evaluation est presente en annexe 5. 

Evaluation des risques residue Is 

Les risques residuels ont ete determines en tenant compte des controles existants 
evalues selon leur pertinence et leur efficacite. L'analyse des risques residuels est presentee 
en annexe 6. 

Cartes des risques 

Les risques residuels identifies et evalues sont ensuite represents sur une carte des 
risques selon leur occurrence et leur impact. 
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Rang 

Risque 

Occurrence - 

Risque 

residuel 

Impact - 
Risque 
residuel 

Criticite 

residuelle 

1 

Coupure d'electricite 

4 

4 

16 

2 

Panneantivol tags 

3 

4 

12 

3 

Vol / detournement de fonds par I'equipe 

2 

5 

10 

4 

Panne TPE 

3 

3 

9 

5 

Casse mannequins 

3 

3 

9 

6 

Panne climatisation 

3 

3 

9 

7 

Vol de marchandises par I'equipe 

3 

3 

9 

8 

Non realisation des reassorts 

3 

3 

9 

9 

Panne caisse 

2 

4 

8 

10 

Utilisation frauduleuse des remises en magasin 

2 

4 

8 

11 

Mauvais service / image de I'equipe 

4 

2 

8 

12 

Non respect des horaires d'ouverture 

2 

4 

8 

13 

Panne vaporetto 

2 

3 

6 

14 

Magasin mal range 

3 

2 

6 

15 

Non integration des nouveautes 

2 

3 

6 

16 

Non respect des guides merch 

3 

2 

6 

17 

Mauvais etiquetage ou non etiquetage en 
periode de solde 

2 

2 

4 

18 

Panne douchette 

i 

3 

3 

19 

Vol / detournement de fonds externe 

i 

3 

3 

20 

Vol de marchandises par les clients 

3 

1 

3 

21 

Connivence, complotisme 

i 

3 

3 

22 

Casse meubles 

i 

2 

2 

23 

Diffusion d'informations confident el les - Dates 

des soldes 

1 

2 

2 

24 

Diffusion d'informations confident el les - 

Fermeture d'un magasin 

1 

2 

2 

25 

Expositions de pieces defectueuses en surface de 

vente 

2 

1 

2 

26 

Panne chaTne HIFI 

i 

1 

1 


Tableau 7 : Tableau de criticite des risques du departement Retail - Folly Fashion 


Probability d'occurrence 



1 

2 

3 

4 

5 

5 


3 




4 


9-10-12 

2 

■ 


3 

18-19-21 

13-15 

4-5-6-7-8 



2 

22-23-24 

17 

14-16-18 

11 


1 

26 

25 

20 




Figure 32 : Carte des risques du departement Retail - Folly Fashion 
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Plan d'action 


Un plan d'action a ete etabli pour traiter les risques non acceptables et ceux 
necessitant une vigilance particuliere : 


Rang 

Risque 

Criticite 

residuelle 

Actions corrective 

Responsable 

Echeance 

Statut 

1 

Coupure 

d'electricite 

16 

Ecrire une procedure a 
communiquer aux magasins 
S'assurer de la reception du 
paiement de la facture 

Coordinatrice 

Retail 

Sept. 

2016 

Realisee 

2 

Panne antivol 
tags 

12 

Communiquer la procedure de 
renforcement des controles en 

cabine et a I'entree 

Responsable 

magasin 

Sept. 

2016 

Realisee 

4 

Panne TPE 

9 

Avoir plus de TPE back-up 

Manager Retail 

Dec. 2016 

En attente 

5 

Casse 

mannequins 

9 

Faire signer un engagement 
sur le materiel 

Controle des photos 

Prevoir mannequins de 
rechange 

Manager Retail 
Coordinatrice 

Visual 

Merchandising 

(VM) 

Dec. 2016 

En attente 

6 

Panne 

climatisation 

9 

a definir 

a definir 



7 

Vol de 

marchandises 
par I'equipe 

9 

Faire des inventaires plus 
reguliers 

Systematiser les inventaires 
partiels 

Manager Retail 

Janv. 

2017 

En attente 

8 

Non realisation 

des reassorts 

9 

Couvrirtout le reseau de 
superviseur 

Instaurer le systeme de client 
mystere 

Manager Retail 

Mars. 

2017 

En attente 

9 

Panne caisse 

8 

Prevoir des secondes caisses 

Manager Retail 

Dec. 2016 

En attente 

10 

Utilisation 

frauduleuse des 

remises en 
magasin 

8 

Communiquer sur 

I'identification sur Colombus 

du beneficiaire de la remise 

Faire un controle par magasin 
chaque fin du mois 

Manager Retail 

Janv. 

2017 

En attente 

11 

Mauvais service 
/ image de 
I'equipe 

8 

Couvrirtout le reseau de 
superviseur 

Structurer la formation 

Instaurer le systeme de client 
mystere 

Manager Retail 

Mars. 

2017 

En attente 

12 

Non-respect des 
horaires 

d'ouverture 

8 

Reporting heure ouverture 
caisse 

Manager Retail 

Janv. 

2017 

En attente 


Tableau 8 : Plan d'action du departement Retail - Folly Fashion 
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b. Departement Svstemes d'information 


Le departement des systemes d'information (SI) assure une fonction support critique 
pour I'entreprise. II est en effet, en charge du developpement, I'animation et la maintenance 
des systemes d'information de la societe. Son role est d'assurer la disponibilite d'un systeme 
d'information adapte aux besoins des utilisateurs et aligne avec la strategie definie par la 
Direction generale. 

L'analyse de I'activite de management des systemes d'information nous a permis 
d'identifier 7 processus metier qui se presentent comme suit: 

o Gestion des actifs : Comprend toutes les operations liees a la gestion du patrimoine 
informatique materiel et immateriel; 

o Gestion de donnees : II s'agit des operations permettant la gestion des donnees 
informatique crees, traitees et stockees dans les bases de donnees de I'entreprise. 
o Gestion des partenaires : II s'agit de a gestion des relations avec les fournisseurs de 
materiel et de logiciels et des prestataires externes de maintenance et de services 
informatiques; 

o Gestion Systemes d'information (SI): II s'agit de toutes les operations de gestion 
quotidienne du systeme d'information operationnel et sa maintenance ; 
o Infrastructure : Gestion du pare informatique materiel; 
o Conformite : Par rapport a la reglementation et aux normes en vigueur; 
o Gestion de projet: Processus de planification et de conduite de projets informatiques 

Identification des risques 

Le diagnostic de ces differents processus operationnels a permis d'identifier les 
risques presentes en annexe 7, classes par ordre de criticite. 

Evaluation des risques 

Les risques identifies ont fait I'objet d'une evaluation sur la base de la probability de 
leur frequence de realisation et de la gravite de leur impact sur les objectifs du processus et 
de la fonction dans son ensemble. 
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II a ete egalement pour chaque risque identifie un horizon de realisation et un 
responsable. Les controles existants ont ete ensuite identifies et evalues selon leur 
pertinence et leur efficacite. L'evaluation est presentee en annexe 8. 

Evaluation des risques residue Is 

Les risques residuels ont ete determines en tenant compte des controles existants 
evalues selon leur pertinence et leur efficacite. Le resultat de cette analyse est presente en 
annexe 9. 

Cartes des risques 

Les risques residuels identifies et evalues sont ensuite represents sur une carte des 
risques selon leur occurrence et leur impact. 


Rang 

Risque 

Occurrence - 
Risque 
residuel 

Impact - 
Risque 
residuel 

Criticite 

residuelle 

1 

Utilisation de logiciels sans licences de I'editeur ou non 
renouvellement de celles-ci 

5 

2 

10 

2 

Fuite d'informations confidentielles 

3 

3 

9 

3 

Perte de donnees/information importantes suite ou 
depart ou absence d'un collaborateur et/ou defaillance 
des systemes 

3 

3 

9 

4 

Obsolescence d'un materiel ou un logiciel 

3 

3 

9 

5 

Utilisation des ressources SI d'une maniere inadaptee 
causant leur perte, leur casse ou leur degradation 

3 

3 

9 

6 

Agissements des utilisateurs pouvant remettre en cause la 
securite et la confidentiality des donnees 

3 

3 

9 

7 

donnees modifiees, perdues 

3 

3 

9 

8 

Defaillance d'une ou plusieurs composantes provoquant 
son indisponibilite ou sa degradation 

2 

4 

8 

9 

Dysfonctionnement imprevu de I'alimentation electrique 

2 

4 

8 

10 

Depassement des fonctionnalites, des capacites 
techniques et physiques et des licences users 

2 

3 

6 

11 

Acquisition d'un materiel ou un logiciel non adapte aux 
besoins 

1 

3 

3 

12 

Utilisation inadaptee ou inefficace du SI 

1 

3 

3 

13 

Defaillance d'un partenaire important 

1 

1 

1 


Tableau 9 : Tableau de criticite des risques du departement SI - Folly Fashion 
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Probability d'occurrence 



Tableau 10 : Carte des risques du departement SI - Folly Fashion 


Plan d'action 

Un plan d'action a ete etabli pour traiter les risques non acceptables et ceux 
necessitant une vigilance particuliere : 


Rang 

Risque 

Criticite 

residuelle 

Actions corrective 

Responsable 

Echeance 

Statut 

1 

Utilisation de logiciels 
sans licences de 

I'editeur ou non 

renouvellement de 

celles-ci 

10 

Budget sur I'achat de pc 
avec licences Windows 

Manager 

tout le 
temps 

deja fait 

2 

Fuite d'informations 
confidentielles 

9 

Audit security realisee 
fin 2015 - actions 
resultantes a planifier 

Manager 

Q4 2016 

attente 
rapport final 
audit 

3 

Perte de 

donnees/information 
importantes suite ou 
depart ou absence 
d'un collaborateur 
et/ou defaillance des 
systemes 

9 

Externalisation des 
bandes de sauvegarde 

Responsable 

Technique 

Q1 2017 

Test avec le 
magasin sis 
au Morocco 

Mall realise 

4 

Obsolescence d'un 
materiel ou un logiciel 

9 

Assurer les mises a jour 
logicielles Windows 

Equipe 

technique 

Q1 2017 

Test d'un 

outil de 
patch 

management 

5 

Utilisation des 

ressources SI d'une 
maniere inadaptee 
causant leur perte, 
leur casse ou leur 
degradation 

9 

Pas de plan d'action a 
date 




6 

Agissements des 
utilisateurs pouvant 
remettre en cause la 

securite et la 

confidentiality des 

donnees 

9 

Rediger un document 
de politique de security 
de I'entreprise 

Manager 

Q1 2017 


7 

donnees modifiees, 
perdues 

9 

Ameliorer le suivi de 

I'administration de 

notre antivirus 

Responsable 

Technique 

Q1 2017 
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Stock de materiel 

Responsable 

Fin 

En cours 


Defaillance d'une ou 
plusieurs composantes 


Redondance serveurs 

technique 

decembr 

e 2016 

En attente 

8 

provoquant son 
indisponibilite ou sa 

8 

Ajout contrat de 
maintenance sur 

cameras, reseaux et 
imprimante 

Manager 


proposition 

fournisseur 


degradation 


Responsable 






technique 

Q2 2016 

En attente 


Dysfonctionnement 






9 

imprevu de 

I'alimentation 

electrique 

8 

Pas de plan d'action 





Tableau 11: Plan d'action du departement SI - Folly Fashion 


c. Departement Gestion de production 

Le departement de la gestion de production est responsable du fonctionnement du 
processus de fabrication depuis la reception du dossier technique et de I'ordre de lancement 
aupres du departement Produit jusqu'a la reception des produits finis au depot central. 



Sa mission principale est de placer les ordres de fabrication chez les sous-traitants, 
suivre et optimiser la qualite et les delais de production selon les criteres de performance 
definis par la Direction generale. 

L'analyse de I'activite de gestion de production nous a permis d'identifier 5 processus 
metier qui se presentent comme suit: 

o Gestion des actifs : Comprend toutes les operations liees a la gestion du patrimoine 
materiel; 

o Gestion des partenaires : II s'agit de a gestion des relations avec les sous-traitants et 
les prestataires externes; 

o Lancement: processus de preparation des dossiers techniques et de placement des 
articles chez les sous-traitants ; 

o Controle qualite : II s'agit des procedures de controle qualite realises au cours du 
processus de production chez les sous-traitants et a la reception des produits. 

o Validation des factures : reception, controle des receptions et validation des 
conditions de facturation et de reglement. 
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Identification des risques 


Le diagnostic de ces differents processus operationnels a permis d'identifier les 
risques presentes en annexe 10, classes par ordre de criticite. 

Evaluation des risques 

Les risques identifies ont fait I'objet d'une evaluation sur la base de la probability de 
leur frequence de realisation et de la gravite de leur impact sur les objectifs du processus et 
de la fonction dans son ensemble. 

II a ete egalement pour chaque risque identifie un horizon de realisation et un 
responsable. Les controles existants ont ete ensuite identifies et evalues selon leur 
pertinence et leur efficacite. L'evaluation des risques est classee en annexe 11. 

Evaluation des risques residue Is 

Les risques residuels ont ete determines en tenant compte des controles existants 
evalues selon leur pertinence et leur efficacite. Cette evaluation est presentee en annexe 12. 

Cartes des risques 

Les risques residuels identifies et evalues sont ensuite represents sur une carte des 
risques selon leur occurrence et leur impact. 


Rang 

Risque 

Occurrence - 
Risque residuel 

Impact - 
Risque 
residuel 

Criticite 

residuelle 

1 

Retarder la production en attendant le controle 
qualite 

4 

4 

16 

2 

Information erronee, incomplete, ambigue ou 
tardive regue du BE 

4 

4 

16 

3 

Affectation du modele au mauvais fagonnier 

4 

4 

16 

4 

Perte d'echantillon ou d'information confidentielle 
sur les produits 

3 

4 

12 

5 

Affectation d'une quantite superieure ou inferieure 
a celle commandee 

4 

3 

12 

6 

Affectation a un prix superieur a la moyenne 

3 

4 

12 

7 

Affectation d'une production a un fagonnier sans 
signature d'un BC 

3 

4 

12 

8 

Risques lies a I'utilisation des SI 

3 

4 

12 

9 

Defaillance du processus de controle qualite 

3 

3 

9 

10 

Affectation du meme modele a deux fagonniers 

2 

4 

8 
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11 

Fraude ou utilisation frauduleuses des ressources 
de I'entreprise 

2 

2 

4 

12 

Defaillance d'un partenaire important (capacite, 
qualite, delai) 

2 

2 

4 


Tableau 12 : Tableau de criticite des risques Gestion de production - Folly Fashion 



Figure 33 : Carte des risques Gestion de production - Folly Fashion 


Plan d'action 

Un plan d'action a ete etabli pour traiter les risques non acceptables et ceux 
necessitant une vigilance particuliere : 


Rang 

Risque 

Criticite 

residuelle 

Actions corrective 

Responsable 

Echeance 

Statut 

1 

Retarder la production en 
attendant le controle 
qualite 

16 

Planification des visites 

des controleurs. 

Renouvellement des 
moyens de transports 

Responsable de 
production 

Q4 2016 

En 

attente 

2 

Information erronee, 
incomplete, ambigue ou 
tardive regue du BE 

16 

Maintien d'un controle 
regulier. Ameliorer la 
communication 
existante entre le BE, CP 
et equipe production. 

Bureau d'etude 
et equipe de 
gestion de 
production 

Q3 2016 

En cours 

3 

Affectation du modele au 
mauvais fagonnier 

16 

Instauration d'une 
validation croisee des 
lancements (Bureau 
d'etude et responsable 
de production 

Responsable de 
production 

Q3 2016 

En cours 

4 

Perte d'echantillon ou 

d'information 

confidentielle sur les 
produits 

12 

Actions judiciaires et 
sanctions suivant les 

termes du BC. 

Responsable de 
production 

Q1 2017 

En 

attente 

5 

Affectation d'une 
quantite superieure ou 
inferieure a celle 

commandee 

12 

Renforcement du suivi 
de la coupe par les 
controleurs. 

Equipe 

production 

Q1 2017 

En 

attente 

6 

Affectation a un prix 
superieur a la moyenne 

12 

Tenir a jour la base des 
prix moyens et 
validation par le 
Responsable de 
production 

Responsable de 
production 

Q4 2016 

En cours 
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7 

Affectation d'une 
production a un fagonnier 
sans signature d'un BC 

12 

Maitriser les niveaux de 

Controle au moment de 

la livraison matiere et 

au moment de la 

validation des dossiers 
de prix. 

Responsable de 
production 

Q1 2017 

En 

attente 

8 

Risques lies a I'utilisation 
des SI 

12 

Renforcement des 
controles d'acces 

Responsable de 
production et 
Manager IT 

Q3 2016 

Achevee 

9 

Defaillance du processus 
de controle qualite 

9 

Formation continue CQ 
et ajustement des 
competences 

Responsable 

Production 

Q1 2017 

En 

attente 

10 

Affectation du meme 
modele a deux fagonniers 

8 

Ameliorer la 

communication interne 

entre les 3 intervenants. 

Controle des Bons de 
transfers, des 
echantillons et la fiche 
technique. 

Responsable 

Production 

Q4 2016 

En 

attente 


Tableau 13 : Plan d'action Gestion de production - Folly Fashion 


4. Systeme de pilotage et de surveillance des risques 

A. Modele de reporting de risques 

La societe Folly Fashion a developpe depuis sa creation une forte culture de 
reactivite, de proactivite, une communication ouverte et une simplicity dans les processus et 
des reporting. Afin de rester coherent avec cette culture d'entreprise, un systeme de 
reporting simple a ete integre aux modeles de reporting existants, en reprenant le forma 
presente ci-dessous. 

L'avancement des actions planifiees et la mise a jour des cartes de risques et des 
plans d'action s'effectuent en continue, dans des reunions dediees ou a I'occasion des 
reunions de management et de revue des objectifs annuels. 


En ce qui concerne les indicateurs de risque (KRI) adoptees par la societe, ils se 
presenter^ par departement comme suit: 

Departement Retail: 

o Baisse du chiffre d'affaire d'un magasin 
o Taux de turnover de I'equipe d'un magasin 
o Deterioration des resultats d'inventaire 

o Indicateurs visuels releves directement ou sur les photos des magasins 
transmis par les responsables de merchandising 
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Departement Systemes d'information : 
o Age des equipements 

o Nombre d'incidents signales 

o Nombre de licences par rapport au nombre de postes utilises 
o Tests de restauration des sauvegardes 
Departement de gestion de production 
o Capacite disponible 
o Taux d'utilisation de la capacite theorique 
o Taux e dechets 
o Delai moyen de livraison 

o Ecarts de reception par rapport aux quantites lancees 



Modele de reporting de suivi du plan d'action 


Identificatior 

| Evaluation initiate 

Revue cfefficadte 

Plan d'action initid 

Plan d'action complementaire 

Processus 

Object# 

Risque 

Cont roles 

exxstants 

Notation 

Maitroe 

Critidte 

residue Be 

Niveau de maitrise 

actuel 

Incidents 

Actions 

corrective 

Initiate 

Res pons able 

Echeance initiate 

Statut 

Eva'-uat»on 

du statut 

Nouveles 

actions 

Responsable 

Echeance 

Quel 

s'ccassjs est 

concede ? 

Qjei oojeeif 

est 

conforms ? 

Que oeutti 

se oasser? 

Queis son: 

es conrdes 

2 'Cvjs oour 

ii'fi'Cs 

nsoue ? 

1- Tres Don 

2- Bon 

3- Moven 

Am Fa i cue 

3- inexstan: 

Qicuee 

^: Sarj cs 

'm/ : Stasne 

U Bn oaisse 

uste des mddents 

OOsa*vCs 

Acton 

oianinee 

imtJaennent 

Rasoonsaoie 

de i’acron 

o amf ii 

imttaiennent 

icnenace 

ddfme dans ie 

plan d acton 

initial 

Rdattsee 

Bn cours 

Retardde 

Annuide 

Results ts 

Actions 

correctives 

Resoonsaoie 

de racson 

corrective 

Ecnenaos de 

i *acti on 

corrective 
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B. Systeme de pilotage du dispositifde management des risques 

Le systeme de gestion des risques mis en place fera I'objet d'une evaluation annuelle, 
au fur et a mesure de son extension aux autres departements. 

Le modele devaluation adopte, presente ci-dessous, retient 4 axes devaluation : 

Niveau de connaissance et de maitrise des risques majeurs 
o Identification des risques majeurs 
o Efficacite des processus de controle des risques majeurs 
o Efficacite du systeme de pilotage des risques majeurs 

Culture de risque et modele organisationnel 
o Implication de la Direction Generale 
o Modele organisationnel 
o Procedures de controle 
o Culture de risque 

Capacite a anticiper les risques emergents 
o Systemes d'alerte 
o Indicateurs de risque 
o Audits et controles 

Reporting et pilotage des risques 
o Reporting interne et externe 
o Tableau de bord 

En se basant sur ce modele, on peut estimer que le systeme de management des 
risques actuel de la societe Folly Fashion est moyen a satisfaisant. En effet, les risques 
majeurs sont identifies et maitrises, le modele organisationnel et la culture de risque est 
bien installee, et le top management est directement implique. Les mecanismes permettant 
d'alerter et d'anticiper les risques sont en cours de mise en place et devront rapidement 
s'installer dans la politique managerial de la societe. 
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Modele (devaluation du systeme de gestion des risques de Folly Fashion 



Niveau de connaissance et de 
maitrise des risques majeurs 


Criteres 


Identification des risques majeurs 
Efficacite des processus de controle 
des risques majeurs 
Eff icacite du syseme de pilotage des 
risques majeurs 


Culture de risque et modele 
organisationnel 


Implication de la Direction Generale 
Modele organisationnel 
Procedures de controle 
Culture de risque 


Capacite a anticiper les risques 
emergents 


Systemes d'alerte 
Indicateurs de risque 
Audits et controles 


Reporting et pilotage des risques Reporting interne et externe 

Tableau de bord 


Excellent 


Identifies 
Tres efficace 

Tres efficace 

Acteur majeur 
Al igne 

Diffusees et maitrisees 
Ancree 

Elaboree et diffusee 
Tenue et analysee 
Tres efficace 
Valide et diffuse 
Valide et diffuse 


Evalutaion du dispositif 
Satisfaisant 


Ma jo rite 
Eff i ca ce 

Eff i ca ce 

Acte u r a cti f 
Forte adequation 
Diffusees 
Pa rta ge e 
Elaboree 
Tenue 
Eff i ca ce 

Valide et paratge avec les managers 
Valide et paratge avec les managers 


Moyen 

Faible i 

Les plus critiques 

Tres peu 

Moyen 

Faible 

Moyen 

Faible 

Supervise 

Adequat 

En cours de diffusion 

Initiee 

Faible implication 

Inadequat 

Non diffusees 

Faible 

En cours d'elaboration 

En cours de constitution 

Moyen 

Inexistante 

Inexistante 

Faible 

En cours de validation 

En cours de validation 

Inexistante 

Inexistante 


Tableau 14 : Criteres devaluation du systeme de gestion des risques de la societe Folly Fashion 
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Conclusion 


Dans un environnement ou la PME, composante essentielle du tissu economique 
national, connait un taux de defaillance tres eleve, I'utilite des techniques de management 
des risques n'est plus a demontrer. 

Nous avons vu a travers cet expose plusieurs referentiels qui se sont developpes pour 
repondre a cette problematique. Mais ils sont tres sophistiques et elabores, et leur mise en 
place necessite des moyens importants et une expertise poussee dont ne dispose pas la PME 
et ne peut se permettre de I'acquerir. C'est ainsi que nous proposons un modele simplifie 
dans sa conception tout en preservant les principes cles d'une gestion efficace des risques. 

Le premier pas de Integration d'un systeme de Risk Management est a notre avis, de 
prendre connaissance de I'environnement et de prendre conscience des risques majeurs qui 
peuvent entraver la continuity du projet. Ce mode de reflexion doit ensuite faire partie du 
systeme managerial de I'entreprise. 

Certes, I'entrepreneur devra prendre des risques dans ces choix de developpement, 
mais les risques doivent etre identifies et mesures pour etre anticipes. II ne s'agit pas en 
effet, d'une attitude passive que nous ne saurons proposer a une jeune entreprise en pleine 
croissance, mais un systeme immunitaire a meme a lui permettre d'evoluer sereinement. 

Le modele RmPME que nous proposons s'inspire beaucoup des differents referentiels 
presentes et tient compte des particularity de la PME qui representent a la fois une 
difficulty de mise en place, mais aussi un avantage correspondant a la simplicity des 
systemes de gestion utilises et la fluidity de la communication. 

Notons egalement que ce systeme de management des risques devrait etre adapte 
au contexte de I'entreprise et le niveau de maturity de son management. II devrait ensuite, 
faire I'objet d'une evaluation critique periodique dans le but de I'ameliorer et I'adapter aux 
nouveaux enjeux de developpement de I'entreprise. 

D'un autre cote, le systeme de management des risques ne doit pas etre congu 
comme un processus isole ou une operation periodique. II s'agit avant tout d'une 
philosophie managerial qui doit s'integrer a tous les processus de I'entreprise. Le Risk 
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management est I'affaire de tous les acteurs, mais la Direction generale doit jouer un role 
important pour lui donner la legitimite et la coherence avec la strategie de I'entreprise. 

Enfin, pour faciliter I'acces des PME aux competences et les ressources financiers 
necessaires a la mise en place et la perennisation d'un systeme de management des risques 
efficace, nous pensons que les pouvoirs publics pourraient et devraient jouer un role 
important. En effet, des programmes de soutien financier et d'assistance d'expertise 
peuvent etre congus pour promouvoir la pratique du management des risques au sein des 
PME et reduire ainsi leurs taux d'echec. 

Cela pourrait le cas echeant, etre integre au programme de soutien aux TPE (Tres 
Petites Entreprises) gere par Maroc PME (ex ANPME). Ce programme aux entreprises de 
petite taille dont le chiffre d'affaires oscille entre 10 et 200 millions de dirhams, en phase de 
croissance, d'acceder a I'assistance technique et le transfert de competences dans les 
domaines suivants : 

1. Strategie de developpement & Restructuration des entreprises; 

2. Accompagnement du dirigeant & Gouvernance ; 

3. Performances operationnelles; 

4. Developpement numerique; 

5. Developpement des marches ; 

6. Management de I'innovation ; 

7. Acces au capital. 

Ce programme pourrait pas exemple etre elargit aux PME et integrer un 
accompagnement dans la mise en place d'un systeme de management des risques. 

Les associations professionnelles et les organismes a but non lucratifs peuvent 
egalement participer a la sensibilisation des jeunes entrepreneurs et des dirigeants de PME a 
I'importance du management des risques pour la reussite de leurs projets. 

Notons a ce titre qu'une association de management des risques existe deja sous la 
denomination « Association Marocaine pour le Risk Management (AMRIM) ». Son role est de 
promouvoir les pratiques de management des risques au Maroc. 
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